Microsoft Configuration Manager: Offenlegung von Informationen durch schwache Authentifizierung

Zusammenfassung

Schwache Authentifizierung in Microsoft Configuration Manager erlaubt es einem nicht authentifizierten Angreifer aus dem Netzwerk, vertrauliche Informationen einzusehen. Die Angriffskomplexität ist hoch, und es sind weder Berechtigungen noch eine Benutzerinteraktion erforderlich. Microsoft stuft die Schwachstelle als Important mit einem CVSS-3.1-Wert von 5.9 ein, und das Advisory beschreibt weder die genaue Schwachstelle noch die offengelegten Daten.

Betroffen

• Microsoft Configuration Manager 2603, Builds ab 1.0.0 bis vor 5.0.9146.1045

Behoben in

• Build 5.0.9146.1045 (gemäss CVE-Eintrag; noch nicht gegen das MSRC-Advisory verifiziert)

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenmassnahme gefunden.

Ausnutzung

• Gemäss den verfügbaren Quellen nicht in freier Wildbahn ausgenutzt; kein öffentlicher Proof of Concept gefunden.
• Rapid7 stuft die Schwachstelle als "Exploitation Less Likely" ein; SANS ISC führt sie als nicht offengelegt und nicht ausgenutzt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.

Unsere Empfehlung

• Prüfen, ob Configuration-Manager-Site-Server oder Konsolen installiert sind und welcher Build läuft.
• Bei Betroffenheit das Update auf Build 5.0.9146.1045 oder neuer einspielen, nachdem es im MSRC-Advisory geprüft wurde.
• Sicherstellen, dass die Verwaltungsinfrastruktur nicht aus dem Internet erreichbar ist.
• Den MSRC-Eintrag auf Änderungen beim Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119991 msrc.microsoft.com
• CVE Record CVE-2026-119991 www.cve.org
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• SANS ISC Diary isc.sans.edu
• Strix: CVE-2026-119991 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:13.