Microsoft Office Word: Informationsoffenlegung durch Buffer Over-Read
Zusammenfassung
Microsoft Word, Teil von Microsoft Office, enthält einen Buffer Over-Read (CWE-126). Ein nicht autorisierter Angreifer kann über ein Netzwerk Informationen offenlegen. Für die Ausnutzung ist eine Interaktion durch einen Benutzer erforderlich. Der CVSS-Vektor zeigt nur eine hohe Auswirkung auf die Vertraulichkeit, ohne Auswirkungen auf Integrität oder Verfügbarkeit. Der CVSS-3.1-Basisscore beträgt 6.5 (mittel).
Betroffen
- Microsoft 365 Apps for Enterprise: 16.0.1 bis zu dem im CNA-Eintrag unter https://aka.ms/OfficeSecurityReleases genannten Build
- Office 365 für Mac: 1.0.0 bis vor 16.115.26110837
- Office LTSC 2021: 16.0.1 bis vor 16.0.14334.21048
- Office LTSC 2024: 16.0.0 bis vor 16.0.17932.21140
- Office LTSC für Mac 2021: 16.0.1 bis vor 16.115.26110837
- Office LTSC für Mac 2024: 16.0.0 bis vor 16.115.26110837
Behoben in
- Microsoft 365 Apps for Enterprise: Build-Nummer im CNA-Eintrag nicht angegeben, siehe https://aka.ms/OfficeSecurityReleases
- Office 365 für Mac und LTSC für Mac: 16.115.26110837 oder neuer
- Office LTSC 2021: 16.0.14334.21048 oder neuer
- Office LTSC 2024: 16.0.17932.21140 oder neuer
Umgehung
Unbekannt.
- Kein Workaround des Herstellers gefunden. Das Sicherheitsupdate einspielen.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt. CISA-SSVC-Bewertung der Ausnutzung: none.
- Rapid7 stuft die Schwachstelle als 'Exploitation Less Likely' ein.
- Kein öffentlicher Proof-of-Concept gefunden und kein Eintrag im CISA KEV gefunden.
Unsere Empfehlung
- Die Office-Sicherheitsupdates vom November 2026 auf allen betroffenen Clients installieren, zuerst auf Arbeitsstationen, die externe Dokumente öffnen.
- Die Versionen von Microsoft 365, LTSC 2021, LTSC 2024 und Mac-Installationen mit den oben genannten Versionen abgleichen.
- Bis zum Patch bei Word-Dokumenten aus unbekannten E-Mail-Anhängen und Downloads Vorsicht walten lassen.
- Für bestätigte Fix-Builds die Microsoft Security Update Guide konsultieren.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org CNA record CVE-2026-124233 www.cve.org
- Microsoft Security Update Guide CVE-2026-124233 msrc.microsoft.com
- Microsoft Office security release notes learn.microsoft.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- Tenable Patch Tuesday November 2026 www.tenable.com
- Strix CVE page CVE-2026-124233 (third-party) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.