Microsoft HPC Pack: Fehlende Authentifizierung führt zu Rechteausweitung
Zusammenfassung
Microsoft High Performance Computing (HPC) Pack enthält eine fehlende Authentifizierung für eine kritische Funktion. Ein nicht authentifizierter Angreifer im Netzwerk kann möglicherweise seine Rechte erweitern. Gemäss CVSS-Vektor ist die Angriffskomplexität hoch, und die genauen Voraussetzungen von Microsoft konnten anhand der verfügbaren Quellen nicht verifiziert werden. HPC Pack ist ein Nischenprodukt für Compute-Cluster, weshalb die meisten KMU wahrscheinlich nicht betroffen sind.
Betroffen
- Microsoft HPC Pack 2019: 1.0.0 vor 6.3.8364.
- Microsoft HPC Pack 2016: betroffen ab 1.0.0 vor dem im CVE-Eintrag genannten Veröffentlichungsdatum; der genaue betroffene Build ist unbekannt.
Behoben in
- HPC Pack 2019: 6.3.8364 oder neuer, gemäss CVE-Eintrag.
- HPC Pack 2016: Unbekannt. Das Herstelleradvisory konnte nicht abgerufen werden, daher sollte nicht davon ausgegangen werden, dass der 2019-Build zutrifft.
Umgehung
Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Bis der Patch bestätigt ist, ist die Einschränkung des Netzwerkzugriffs auf HPC-Pack-Verwaltungsknoten allgemeine Härtungsempfehlung und keine Herstellerempfehlung.
Ausnutzung
- Die CISA-SSVC-Bewertung von Microsoft lautet: Exploitation none und Automatable no.
- Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und führt keine öffentliche Bekanntmachung auf.
- Derzeit ist keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Alle HPC-Pack-2016- und 2019-Installationen sowie deren genaue Build-Nummern erfassen.
- Das MSRC-Advisory lesen, um den korrigierten HPC-Pack-2016-Build und einen allfälligen Workaround zu bestätigen.
- Sicherstellen, dass die HPC-Pack-Verwaltungsports nicht aus dem Internet erreichbar sind.
- Patchen, sobald der korrigierte Build bestätigt ist, und auf jedem Knoten überprüfen.
- HPC Pack nicht als durch Windows-Updates allein abgedeckt betrachten; separat prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-122987 msrc.microsoft.com
- CVE Record CVE-2026-122987 www.cve.org
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- Strix CVE summary CVE-2026-122987 www.strix.ai
- Lansweeper Patch Tuesday August 2026 www.lansweeper.com
- WindowsForum: CVE-2026-59133 HPC Pack patch not covered by Windows Updates windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.