Windows UDFS: Lokale Rechteausweitung durch heap-basiertes Buffer Overflow

Zusammenfassung

Ein heap-basiertes Buffer Overflow im Windows Universal Disk Format File System Driver (UDFS) erlaubt einem Angreifer mit einem bestehenden lokalen Konto, seine Rechte zu erhöhen. Der Angriff setzt eine lokale Anmeldung voraus, weshalb es sich um ein Risiko in einer zweiten Angriffsphase handelt und nicht um einen Einstiegspunkt aus dem Internet. Der CVE-Eintrag widerspricht sich bei der Schwachstellenart (CWE-416 gegenüber Heap-Overflow) und beim Angriffsvektor (AV:N im CVSS-Vektor), weshalb das MSRC-Advisory vor der endgültigen Bewertung geprüft werden muss.

Betroffen

• Windows 10 Version 1607: Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809: Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Behoben in den oben als Obergrenze aufgeführten Builds, bereitgestellt mit den Sicherheitsupdates vom November 2026 (Patch Tuesday).
• Die KB-Nummer pro Build ist aus den Quellen nicht bekannt; bitte auf der MSRC-Seite prüfen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers dokumentiert.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Reifegrad der Ausnutzung laut Microsoft: Unproven (E:U).
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Systemen installieren, zuerst auf Terminalservern, RDS-Hosts und gemeinsam genutzten Endgeräten.
• Lokale Anmeldungen auf gemeinsam genutzten Systemen einschränken und festlegen, wer Wechselmedien einbinden darf.
• Betroffene Builds und KB-Nummern vor der Risikobewertung mit dem MSRC-Advisory abgleichen.
• Auf multi-User-Systemen auf unerwartete Änderungen von Berechtigungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-119837 www.cve.org
• Microsoft Security Response Center advisory CVE-2026-119837 msrc.microsoft.com
• VulDB entry 434178 vuldb.com
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Qualys: November 2026 Patch Tuesday review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:32.