Windows Smart Card: Heap-basierter Pufferüberlauf ermöglicht Rechteausweitung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Windows-Smart-Card-Komponente erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der Angriff erfordert physischen Zugriff auf das Gerät und ein Konto mit niedrigen Rechten. Bei einer erfolgreichen Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig gefährdet.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core)
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core)
• Windows 10 Version 21H2 und 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2
• Windows Server 2022
• Betroffene Builds sind gemäss CNA-Eintrag kleiner als die jeweils korrigierten Builds (zum Beispiel 10.0.22631.7711 für Windows 11 23H2)

Behoben in

• Sicherheitsupdates vom 10. November 2026
• Korrigierte Builds gemäss CNA-Eintrag: 10.0.14393.9688 (1607/Server 2016), 10.0.17763.9487 (1809/Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.20348.5870 (Server 2022), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.26300.9974 (26H2), 10.0.28000.3501 (26H1)
• Genaue Builds und KB-Nummern vor der Verteilung im MSRC-Advisory prüfen

Umgehung

Unbekannt.

• Kein vom Hersteller veröffentlichter Workaround gefunden. Physische Massnahmen anwenden: unbeaufsichtigte Geräte sperren, Bildschirmsperren aktivieren, keine angemeldeten Terminals unbeaufsichtigt lassen.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; die Schwachstelle wurde nicht öffentlich bekannt gemacht.

Unsere Empfehlung

• Die Sicherheitsupdates vom 10. November 2026 im regulären Patch-Tuesday-Zyklus einspielen, auf gemeinsam genutzten Arbeitsplätzen, Kiosken und Geräten mit Smart-Card-Anmeldung früher.
• Alle am selben Tag veröffentlichten Smart-Card-Schwachstellen zur Rechteausweitung gemeinsam patchen.
• Laptops, die das Büro verlassen, und gemeinsam genutzte Geräte priorisieren.
• Physische Sicherheit und Bildschirmsperren auf allen Endgeräten durchsetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118144 msrc.microsoft.com
• CVE Record CVE-2026-118144 (CNA Microsoft) www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Senserva KB 5132061 summary senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:44.