Windows HID Parser Library: Heap-basierter Pufferüberlauf ermöglicht Rechteausweitung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Windows HID Parser Library ermöglicht einem nicht autorisierten Angreifer, auf betroffenen Windows-Systemen seine Rechte zu erweitern. Der Angreifer benötigt physischen Zugriff auf das Gerät, beispielsweise durch Anschluss eines manipulierten USB- oder HID-Geräts. Aus dem Internet sind die Systeme nicht direkt angreifbar, gefährdet sind jedoch gemeinsam genutzte, öffentlich zugängliche oder unbeaufsichtigte Endgeräte.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds 10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds 10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds 10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds 10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (Builds 10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Das kumulative Update vom November 2026 für die betroffenen Windows-Versionen installieren, es enthält die Korrektur.
• Korrigierte Builds gemäss CVE-Eintrag: 10.0.14393.9688 (1607 und Server 2016), 10.0.17763.9487 (1809 und Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022).
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Einspielen des Patches ist die Korrektur.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• In den geprüften Quellen gibt es keinen Hinweis auf eine Ausnutzung in freier Wildbahn.
• Bei der Recherche wurde kein öffentlicher Proof-of-Concept gefunden. Dies belegt jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10- und Windows-11-Endgeräten und Servern installieren, zuerst auf gemeinsam genutzten und öffentlich zugänglichen Geräten.
• Vorab prüfen, ob jedes System noch auf einem unterstützten Build läuft, da nicht unterstützte Builds die Korrektur nicht erhalten.
• Bis zur Korrektur die Installation neuer USB- und HID-Geräte über Gruppenrichtlinien oder Intune-Gerätesteuerungsrichtlinien einschränken.
• Unbeaufsichtigte Geräte mit Bildschirmsperre sichern und USB-Anschlüsse an Empfangs-, Kiosk- und Sitzungsraum-Geräten physisch schützen.
• Auch die verwandte Schwachstelle CVE-2026-83569 vom Oktober 2026 in derselben Komponente patchen; sie ersetzt dieses Update nicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-122173 msrc.microsoft.com
• CVE Record: CVE-2026-122173 www.cve.org
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• ZDI: November 2026 Security Update Review www.thezdi.com
• MSRC: CVE-2026-83569 (related October 2026 CVE) msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:34.