Windows Distributed Transaction Coordinator: Lokale Rechteausweitung durch Heap-Überlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Windows Distributed Transaction Coordinator (MSDTC) erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Bei erfolgreicher Ausnutzung hätte der Angreifer auf dem betroffenen System einen vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Ein Angreifer benötigt einen lokalen Zugriff und ein Konto mit niedrigen Rechten, daher handelt es sich um einen Folgeschritt nach einer anderen Kompromittierung, etwa durch Phishing oder ein gestohlenes Zugangsdatum.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Behoben in

• Das Sicherheitsupdate von Microsoft vom November 2026 (Patch Tuesday) oder neuer installieren.
• Behobene Builds: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• Die spezifische KB-Nummer für diese CVE ist unbekannt. Im MSRC Security Update Guide prüfen.

Umgehung

• Kein Workaround des Herstellers gefunden. Status: unbekannt.
• Wo MSDTC nicht benötigt wird, den MSDTC-Dienst beenden und deaktivieren. Vorher prüfen, ob keine abhängige Anwendung darauf angewiesen ist.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: unbekannt, in den verfügbaren Quellen wurden keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• NVD-Status zum Zeitpunkt der Analyse: Awaiting Analysis.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Serversystemen installieren und anschliessend die Build-Nummer mit der MSRC-Tabelle abgleichen.
• Hosts identifizieren, auf denen der MSDTC-Dienst läuft (zum Beispiel mit Get-Service MSDTC), und Server priorisieren, die transaktionale Datenbank-, Legacy-COM/.NET- oder Mehrbenutzeranwendungen betreiben.
• MSDTC auf Systemen deaktivieren, auf denen keine abhängige Anwendung es benötigt.
• Lokale Konten und privilegierte Anmeldungen auf betroffenen Servern überprüfen.
• MSRC und NVD auf Updates zum Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119917 msrc.microsoft.com
• CVE.org record CVE-2026-119917 www.cve.org
• strix.ai: CVE-2026-119917 www.strix.ai
• Wikipedia: Microsoft Distributed Transaction Coordinator en.wikipedia.org
• revertservice: MSDTC on Windows 10 revertservice.com
• NewsBeep: CVE-2026-119917 report www.newsbeep.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:41.