Microsoft Windows: Informationsoffenlegung in ActiveSyncProvider
Zusammenfassung
Mehrere Windows-10- und Windows-11-Builds enthalten einen Out-of-Bounds-Read in ActiveSyncProvider. Ein nicht authentifizierter Angreifer im Netzwerk kann Speicherinhalte auslesen, jedoch nur, wenn ein Benutzer an der Angriffshandlung mitwirkt (UI:R). Der CVE-Eintrag beschreibt nur eine Auswirkung auf die Vertraulichkeit und nennt keine Schreibzugriffe oder Codeausführung.
Betroffen
- Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9688
- Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
- Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
- Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
- Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
- Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
- Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
- Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
- Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
Behoben in
- Das kumulative Update vom November 2026 für den eigenen Build installieren (fixierte Builds siehe oben).
- KB-Nummern: Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- Laut SANS ISC wird die Schwachstelle nicht in freier Wildbahn ausgenutzt.
- Rapid7 stuft die Ausnutzung als unwahrscheinlich ein und meldet keine öffentliche Offenlegung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das kumulative Update vom November 2026 auf allen betroffenen Windows-Geräten installieren; priorisiert werden nicht mehr unterstützte Windows-10-Versionen und Systeme für die mobile Synchronisation.
- Vor der Verteilung im MSRC Security Update Guide die verbindliche Produktliste und die KB-Nummern prüfen.
- Prüfen, ob Windows-Geräte ActiveSync-nahe Dienste bereitstellen oder nutzen, insbesondere wenn sie von ausserhalb des Netzwerks erreichbar sind.
- Den Abschnitt Mitigations im MSRC Security Update Guide auf Zwischenmassnahmen prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Offenlegung von Informationen – ActiveSyncProvider
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung unwahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131096, KB5131087, KB5132061, KB5132043
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-119889 msrc.microsoft.com
- CVE.org record: CVE-2026-119889 www.cve.org
- SANS ISC Patch Tuesday diary isc.sans.edu
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.