Microsoft Windows App: Informationsoffenlegung durch Out-of-Bounds Read im Remote-Desktop-Client
Zusammenfassung
Die Windows App (Remote-Desktop-Client) enthält einen Out-of-Bounds Read (CWE-125), der einem nicht autorisierten Angreifer über das Netzwerk die Offenlegung von Informationen ermöglicht. Für den Angriff muss ein Benutzer mitwirken, zum Beispiel indem er sich über eine manipulierte .rdp-Datei oder einen Link in einer Phishing-Nachricht mit einem vom Angreifer kontrollierten Host verbindet. Die Auswirkung beschränkt sich auf die Vertraulichkeit; der Angreifer kann keinen Code ausführen, der ausgelesene Speicher kann jedoch sensible Daten enthalten.
Betroffen
- Windows App Client für Windows Desktop, Versionen 1.00 bis vor 2.0.1489.0
- Unbekannt: KB-Nummern und gepatchte Builds pro Betriebssystem für Windows 10, Windows 11 und Windows Server
Behoben in
- Windows App Client für Windows Desktop 2.0.1489.0 oder neuer
Umgehung
- Vom Hersteller ist kein Workaround ohne Patch dokumentiert.
- Zwischenlösung (Empfehlung, keine Herstelleraussage): Einschränken, zu welchen Hosts Benutzer eine Verbindung aufbauen können, und ausgehende RDP-Verbindungen von Admin- und Mitarbeitergeräten begrenzen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Die Exploitability-Angaben von Microsoft für diese CVE wurden nicht abgerufen.
Unsere Empfehlung
- Die Windows App auf Version 2.0.1489.0 oder neuer aktualisieren.
- Prüfen, dass alle installierten Kopien aktualisiert sind, da Betriebssystem-Updates eine separat installierte Windows App möglicherweise nicht abdecken.
- Ausgehende RDP-Verbindungen von Admin- und Mitarbeitergeräten auf vertrauenswürdige Hosts beschränken.
- Benutzer warnen, unbekannte .rdp-Dateien nicht zu öffnen oder Links nicht zu folgen, die Remote-Desktop-Sitzungen starten.
- Das MSRC-Advisory auf die Microsoft-Bewertung und die KB-Liste pro Betriebssystem prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121678 www.cve.org
- MSRC Security Update Guide CVE-2026-121678 msrc.microsoft.com
- Microsoft Windows App what's new learn.microsoft.com
- MSRC Security Update Guide CVE-2026-108419 (sister advisory) msrc.microsoft.com
- Cybersecurity News: multiple Windows Remote Desktop vulnerabilities cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.