Windows Device Association Service: Use-after-free führt zur lokalen Rechteausweitung

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Device Association Service erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer, der bereits ein Standardbenutzerkonto auf dem System besitzt, kann SYSTEM-Rechte erlangen. Der Angriff ist nicht aus der Ferne ausnutzbar und setzt lokalen Zugriff sowie eine Bedingung mit hoher Komplexität voraus.

Betroffen

• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): Builds 10.0.26100.0 bis vor 10.0.26100.33822
• Hinweis: Die Liste der betroffenen Produkte im CVE-Eintrag ist teilweise unklar; die genaue Produktliste im MSRC-Advisory prüfen.

Behoben in

• Das Windows-Sicherheitsupdate vom November 2026 für jede betroffene Produktlinie installieren (die korrigierten Builds stehen oben unter 'betroffen').
• KB-Nummern je Produktlinie: Unbekannt.

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers veröffentlicht.
• Inoffizielle, von der Community vorgeschlagene Massnahme: Deaktivierung des Dienstes, falls keine Kopplungsgeräte verwendet werden. Dies ist keine offizielle Massnahme und muss vor dem Einsatz getestet werden.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven ein (E:U).
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Bekanntgabe.
• Eine Ausnutzung in freier Wildbahn ist nicht bekannt. CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als no.
• Es wurde kein öffentlicher Proof of Concept gefunden. Der KEV-Katalog der CISA wurde nicht direkt geprüft.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, mit Priorität auf Windows-10-Systemen, gemeinsam genutzten PCs sowie Terminal- oder RDS-Servern.
• Vor dem Rollout anhand des MSRC-Advisorys prüfen, welche Systeme betroffene Builds verwenden.
• Lokale Anmeldung einschränken und Standardbenutzer auf gemeinsam genutzten Systemen begrenzen.
• Auf unerwartete SYSTEM-Prozesse und Rechteänderungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119874 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-119874 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix AI: CVE-2026-119874 (third-party) www.strix.ai
• Senserva: KB5132059 (third-party) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:35.