Windows Cloud Files Mini Filter Driver: Rechteausweitung durch TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use-(TOCTOU)-Race-Condition im Windows Cloud Files Mini Filter Driver (cldflt.sys) erlaubt es einem lokalen, berechtigten Benutzer, seine Rechte zu erweitern. Der CVSS-Wert beträgt 7.0 (Hoch). Für den Angriff sind eine hohe Angriffskomplexität und ein vorheriger Zugriff auf das System nötig, beispielsweise ein Benutzerkonto mit niedrigen Rechten, das durch Phishing oder Diebstahl von Zugangsdaten erlangt wurde.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inkl. Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und Windows Server 2025 (inkl. Server Core): Builds vor 10.0.26100.9974 (Client) bzw. 10.0.26100.33822 (Server)
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

Sicherheitsupdates von Microsoft für November 2026, die die oben aufgeführten Builds auf die korrigierte Version oder darüber bringen. Genaue KB-Nummern: siehe MSRC-Advisory.

Umgehung

Unbekannt. Es wurde keine herstellerspezifische Workaround-Massnahme veröffentlicht. Das Deaktivieren des Treibers ist für diese CVE nicht verifiziert und kann OneDrive Files On-Demand beeinträchtigen.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: für diese CVE nicht festgestellt.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Verwandte Cloud-Files-Schwachstellen (z. B. CVE-2025-55680) haben öffentliche Exploits, daher hat der Treiber eine Historie lokaler Rechteausweitungen.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Windows-Systemen installieren; Mehrbenutzer-Geräte, Terminalserver und Geräte mit OneDrive-Synchronisation priorisieren.
• Vor der Verteilung die genauen korrigierten Builds und KB-Nummern im MSRC-Advisory prüfen.
• Prüfen, ob alle Windows-10-Systeme auf unterstützten Builds laufen; Windows 10 1809 und 21H2 sind nicht mehr im Mainstream-Support.
• Auf ungewöhnliche Rechteänderungen und neue lokale Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-119974 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-119974 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Cybersecuritynews: Microsoft November 2026 Patch Tuesday cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:25.