Windows Deployment Services: Informationsoffenlegung über Path Traversal
Zusammenfassung
Windows Deployment Services auf Windows Server 2016, 2019, 2022 und 2025 enthält eine Relative Path Traversal-Schwachstelle (CWE-23). Ein nicht autorisierter Angreifer mit Netzwerkzugriff kann Informationen vom Server auslesen, aber weder Daten verändern noch den Dienst stören. Für die Ausnutzung ist eine hohe Angriffskomplexität nötig, und es ist weder ein öffentlicher Exploit noch eine aktive Ausnutzung bekannt.
Betroffen
- Windows Server 2016 und Server-Core-Installation: Builds vor 10.0.14393.9688
- Windows Server 2019 und Server-Core-Installation: Builds vor 10.0.17763.9487
- Windows Server 2022: Builds vor 10.0.20348.5870
- Windows Server 2025 und Server-Core-Installation: Builds vor 10.0.26100.33822
Behoben in
- Installieren Sie das Microsoft-Sicherheitsupdate vom November 2026, das die Builds auf die aufgeführten Versionen oder höher bringt.
- Kumulative Update-Nummern von Drittanbietern (KB5131080, KB5131085) sind nicht verifiziert.
Umgehung
Unbekannt.
Ausnutzung
- Microsoft-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar
- Rapid7: Ausnutzung eher unwahrscheinlich, nicht öffentlich bekannt
- Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und kein Metasploit-Modul gefunden
Unsere Empfehlung
- Spielen Sie das kumulative Update vom November 2026 auf allen betroffenen Windows-Server-Systemen ein, zuerst auf WDS-Servern, die aus Gast-, Filial- oder VPN-Netzen erreichbar sind.
- Überprüfen Sie den installierten Build und das Update vor dem Rollout auf MSRC oder im Microsoft Update Catalog.
- Prüfen Sie, ob WDS über das interne Deployment-Netz hinaus erreichbar ist.
- Beschränken Sie WDS bis zur Behebung auf das Deployment-VLAN und blockieren Sie seine Ports aus nicht vertrauenswürdigen Netzen.
- Prüfen Sie ältere Systeme ausserhalb der aufgeführten Builds, einschliesslich Windows Server 2012/R2, deren Status nicht bestätigt ist.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Offenlegung von Informationen – Windows Deployment Services
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131090, KB5131080, KB5131077
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-118213 msrc.microsoft.com
- CVE Record CVE-2026-118213 www.cve.org
- Rapid7: Patch Tuesday November 2026 www.rapid7.com
- Senserva: KB5131080 senserva.com
- Senserva: KB5131085 senserva.com
- Strix: CVE-2026-118213 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.