Microsoft Office Outlook: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung ist eine Interaktion des Benutzers nötig und die Angriffskomplexität ist hoch, daher müsste ein Opfer typischerweise eine präparierte Nachricht öffnen oder in der Vorschau anzeigen. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft (CVSS 7.5).

Betroffen

• Microsoft 365 Apps for Enterprise: Versionen ab 16.0.1 vor dem aktuellen Build, der auf der Microsoft-Office-Sicherheitsupdate-Seite aufgeführt ist (Build im CVE-Eintrag nicht angegeben)
• Microsoft Office LTSC 2021: Versionen ab 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: Versionen ab 16.0.0 vor 16.0.17932.21140
• Outlook 2016 und Office 2019 sind im CVE-Eintrag nicht aufgeführt; Microsoft hat deren Status nicht bestätigt.

Behoben in

• Microsoft Office LTSC 2021: 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.17932.21140
• Microsoft 365 Apps for Enterprise: Unbekannt (MSRC-Advisory prüfen)

Umgehung

Unbekannt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Öffentlicher Proof-of-Concept-Code: nichts gefunden.
• Aktive Ausnutzung in freier Wildbahn: nichts bekannt.
• Ein Drittanbieter-Tracker führt die CVE nicht im KEV-Katalog der CISA; dies wurde nicht gegen den Katalog der CISA verifiziert.

Unsere Empfehlung

• Microsoft Office LTSC 2021 auf mindestens 16.0.14334.21048 und LTSC 2024 auf mindestens 16.0.17932.21140 patchen.
• Den Build von Microsoft 365 Apps mit dem MSRC-Advisory vergleichen und das aktuelle Update installieren.
• Sicherstellen, dass automatische Updates auf allen Endgeräten mit Outlook funktionieren.
• MSRC-Advisory und CISA nach Abschluss der NVD-Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-123379 msrc.microsoft.com
• CVE Record CVE-2026-123379 (CVE Program) www.cve.org
• Strix AI: CVE-2026-123379 www.strix.ai
• EUVD-2026-73716 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:17.