Microsoft Office Outlook: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Microsoft Office Outlook enthält einen heap-basierten Pufferüberlauf (CWE-122), der einem nicht authentifizierten Angreifer über das Netzwerk die Ausführung von Code erlaubt. Gemäss CVSS-Vektor sind keine Berechtigungen nötig, ein Benutzer muss jedoch mitwirken, etwa indem er eine präparierte Nachricht öffnet oder in der Vorschau anzeigt. Der genaue Auslöser ist in den geprüften Quellen nicht dokumentiert. Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend, der CVSS-Score beträgt 8.8.
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zum korrigierten Build (genauer Build unbekannt)
- Office LTSC 2021: 16.0.1 bis unter 16.0.14334.21048
- Office LTSC 2024: 16.0.0 bis unter 16.0.17932.21140
Hinweis: Die Versionsangaben stammen aus dem CVE-Eintrag und einem Drittanbieter-Aggregator und sind noch nicht gegen MSRC verifiziert.
Behoben in
- Microsoft 365 Apps for Enterprise: Unbekannt. Update-Verlauf der Microsoft 365 Apps prüfen.
- Office LTSC 2021: 16.0.14334.21048 (laut Aggregator, nicht verifiziert)
- Office LTSC 2024: 16.0.17932.21140 (laut Aggregator, nicht verifiziert)
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert; das Sicherheitsupdate ist die einzige bestätigte Massnahme.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: für diese CVE nicht bekannt.
- Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog; nicht verbindlich geprüft.
- Öffentlicher Proof of Concept: keiner gefunden.
Unsere Empfehlung
- Die Sicherheitsupdates vom November 2026 für Microsoft 365 Apps und Office LTSC 2021/2024 installieren, sobald das MSRC-Advisory die Builds bestätigt.
- Systeme mit Internetzugang und Clients, die Mails von externen Absendern verarbeiten, priorisieren.
- Lesebereich und automatische Vorschauen als allgemeine Härtungsmassnahme einschränken (eigene Empfehlung, keine dokumentierte Massnahme).
- Alle Outlook-Builds aktuell halten, da Heap-Überläufe in Outlook bereits im Oktober 2026 gepatcht wurden.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-123383 msrc.microsoft.com
- CVE Record: CVE-2026-123383 www.cve.org
- strix.ai: CVE-2026-123383 (third-party, unverified) www.strix.ai
- Trinetriops: November 2026 Patch Tuesday trinetriops.com
- BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
- Vulners: October 2026 Outlook update check vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.