Windows App: Informationsoffenlegung durch Out-of-Bounds-Read im Remote Desktop Client
Zusammenfassung
Der Windows-App-Client, der Zugriff auf Azure Virtual Desktop, Windows 365 und Remote-PCs bietet, enthält einen Out-of-Bounds-Read in seiner Remote-Desktop-Client-Komponente. Ein Angreifer kann über das Netzwerk ohne Authentifizierung Informationen aus dem Speicher des Clients auslesen. Die Ausnutzung setzt voraus, dass ein Benutzer sich mit einem vom Angreifer kontrollierten oder gefälschten RDP-Host verbindet. Betroffen ist nur die Vertraulichkeit; Integrität und Verfügbarkeit sind nicht betroffen.
Betroffen
- Windows App Client for Windows Desktop ab 1.00 vor 2.0.1489.0
Behoben in
- 2.0.1489.0 (abgeleitet aus dem CVE.org-Eintrag und dem verwandten Eintrag CVE-2026-108419; auf der MSRC-Seite für diese CVE noch nicht bestätigt)
- Neuester in öffentlichen Auflistungen gefundener Build: 2.0.1485.0 (1. November 2026); 2.0.1489.0 noch nicht öffentlich aufgeführt
Umgehung
Unbekannt.
- Bis zur Aktualisierung des Clients nur Verbindungen zu bekannten, vertrauenswürdigen RDP-Hosts herstellen
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn (CISA SSVC: Exploitation none; KEV: nein)
- Kein öffentlicher Proof of Concept gefunden
- EPSS 0.00868 (geringe prognostizierte Wahrscheinlichkeit)
Unsere Empfehlung
- Windows App über Ihre Update-Werkzeuge auf 2.0.1489.0 oder neuer aktualisieren und die Version im Microsoft Store oder über winget prüfen
- Das MSRC-Advisory auf die endgültige Liste der behobenen Komponenten prüfen
- RDP-Verbindungen auf bekannte interne oder Azure-Hosts beschränken und Mitarbeitende vor Verbindungen zu unbekannten Hosts warnen
- Als mittlere Priorität behandeln; die Windows App aktuell halten
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record CVE-2026-121677 www.cve.org
- MSRC Security Update Guide CVE-2026-121677 msrc.microsoft.com
- MSRC Security Update Guide CVE-2026-108419 (sibling entry) msrc.microsoft.com
- Strix.ai CVE-2026-121677 www.strix.ai
- VULNERS EUVD-2026-99475 (EPSS) vulners.com
- Stack.watch Microsoft Remote Desktop stack.watch
- TechSpot Windows App www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.