Microsoft Office Outlook: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer über das Netzwerk, Code auf dem betroffenen System auszuführen. Der CVSS-Vektor sieht keine Berechtigungen, aber eine Benutzerinteraktion (UI:R) vor, daher muss ein Benutzer eine Aktion ausführen, etwa ein präpariertes Element öffnen; der genaue Auslöser ist in den Quellen nicht angegeben. Bei erfolgreicher Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit des Systems des Benutzers vollständig betroffen.

Betroffen

• Microsoft 365 Apps for Enterprise (32-bit und x64): 16.0.1 vor dem im Dokument https://aka.ms/OfficeSecurityReleases genannten Build (Build-Nummer der Korrektur unbekannt)
• Microsoft Office LTSC 2021 (32-bit und x64): 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024 (32-bit und x64): 16.0.0 vor 16.0.17932.21140
• Office 2019, Office 2016 und andere Kanäle: Unbekannt.

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (MSRC-Advisory und https://aka.ms/OfficeSecurityReleases prüfen)
• Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
• Microsoft Office LTSC 2024: 16.0.17932.21140 oder neuer

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• Es gibt keine Hinweise auf Ausnutzung in freier Wildbahn; laut einem Drittanbieter-Tracker ist die Lücke nicht im CISA-KEV-Katalog gelistet.
• Die CVSS-Reife des Exploit-Codes ist mit 'unproven' angegeben.
• Es wurde kein öffentlicher Proof of Concept gefunden; die CVE wurde heute veröffentlicht.

Unsere Empfehlung

• Alle Outlook-, Microsoft-365- und Office-LTSC-Installationen sowie deren Build-Nummern erfassen.
• Nach Bestätigung das Update aus dem MSRC-Advisory einspielen und die Builds mit den genannten Grenzwerten vergleichen.
• Bis zur Korrektur Benutzer anweisen, keine unerwarteten Anhänge oder Links zu öffnen, und E-Mail-Filterung sowie Anhangskontrollen aktivieren.
• Auf Aufnahme in den CISA-KEV-Katalog und Herstellerupdates achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-123381 msrc.microsoft.com
• CVE Record CVE-2026-123381 www.cve.org
• Strix: CVE-2026-123381 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:13.