Microsoft Office Excel: Information Disclosure durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read in Microsoft Office Excel erlaubt einem nicht berechtigten Angreifer, über das Netzwerk Informationen offenzulegen. Voraussetzung ist, dass ein Opfer eine präparierte Excel-Datei öffnet, etwa eine per E-Mail oder Download zugestellte. Die Auswirkung beschränkt sich auf die Vertraulichkeit, und Microsoft stuft die Lücke als wichtig, nicht als kritisch ein.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 vor dem Build, der unter https://aka.ms/OfficeSecurityReleases aufgeführt ist (genauer Build unbekannt)
• Microsoft Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC für Mac 2021: 16.0.1 vor 16.115.26110837
• Microsoft Office LTSC 2024 und LTSC für Mac 2024, Office Online Server: nur von einem Drittanbieter-Tracker aufgeführt, im CNA-Eintrag nicht verifiziert

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt (auf der MSRC-Seite prüfen)
• Microsoft Office 365 für Mac: 16.115.26110837 oder neuer
• Microsoft Office LTSC 2021: 16.0.14334.21048 oder neuer
• Weitere Produkte: Unbekannt (auf der MSRC-Seite prüfen)

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround oder keine Massnahme dokumentiert. Das Aktualisieren ist die Behebung.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial
• CVSS-Temporal-Vektor E:U (Unproven exploit maturity)
• Rapid7 stuft die Lücke als Exploitation Less Likely ein, ohne öffentliche Offenlegung
• Kein öffentlicher Proof of Concept gefunden; keine bekannte Ausnutzung dieser CVE in freier Wildbahn

Unsere Empfehlung

• Das Office-Sicherheitsupdate vom November 2026 auf Microsoft 365 Apps, Office LTSC und Mac-Systemen über den üblichen Updatekanal installieren.
• Die installierte Build-Nummer mit dem MSRC-Advisory vergleichen, da der feste Build für Microsoft 365 Apps nicht bestätigt werden konnte.
• Die am selben Tag veröffentlichte Outlook-NTLM-Lücke priorisieren, die nachweislich in freier Wildbahn ausgenutzt wird.
• Als allgemeine Härtung das Blockieren von Dateien aus dem Internet und die Geschützte Ansicht aktivieren; deren Wirkung auf diese konkrete Lücke ist nicht verifiziert.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-124178 msrc.microsoft.com
• CVE Record CVE-2026-124178 www.cve.org
• Microsoft 365 Apps security updates learn.microsoft.com
• Rapid7 Patch Tuesday November 2026 analysis www.rapid7.com
• Zero Day Initiative November 2026 security update review www.zerodayinitiative.com
• Strix CVE-2026-124178 (third-party tracker, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:02.