Microsoft Windows QWAVE-Dienst: Use-after-free führt zu Rechteausweitung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Dienst Quality Windows Audio/Video Experience (QWAVE) von Windows erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt ein lokales Benutzerkonto mit niedrigen Rechten oder einen anderen lokalen Zugriff, und die Angriffskomplexität wird als hoch eingestuft. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig gefährden.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft für CVE-2026-123389 aus dem MSRC Security Update Guide.
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• KB-Nummern: Unbekannt.

Umgehung

Unbekannt. Es wurde keine Workaround oder Massnahme des Herstellers identifiziert; das Einspielen von Patches ist der Lösungsweg.

Ausnutzung

• Gemäss CISA SSVC ist keine Ausnutzung bekannt; die Ausnutzung wird mit none und die Automatisierbarkeit mit no bewertet.
• Kein öffentlicher Proof of Concept gefunden.
• Ein Drittanbieter-Aggregator listet einen EPSS-Wert von 0.003 (keine offizielle Quelle).

Unsere Empfehlung

• Spielen Sie das Microsoft-Sicherheitsupdate vom November 2026 auf alle betroffenen Windows-Systeme ein, mit Priorität auf Mehrbenutzer-Arbeitsstationen sowie Terminal- oder RDP-Server.
• Prüfen Sie die Build-Nummern vor dem Rollout anhand des MSRC-Advisory.
• Klären Sie in Ihrer Asset-Verwaltung, ob CVE-2026-69977 (als gleicher QWAVE-Fehler gemeldet) ein separater CVE oder ein Duplikat ist.
• Überwachen Sie nach dem Patch auf Berichte über öffentliche Exploits.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-123389 msrc.microsoft.com
• CVE Record CVE-2026-123389 www.cve.org
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• CWE-416: Use After Free cwe.mitre.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:17.