Microsoft Windows HID Parser Library: Rechteerweiterung durch Out-of-Bounds Read

Zusammenfassung

Die HID Parser Library in mehreren unterstützten Versionen von Windows 10, Windows 11 und Windows Server enthält einen Out-of-Bounds Read (CWE-125). Ein nicht autorisierter Angreifer mit physischem Zugriff auf ein Gerät kann seine Rechte auf eine höhere Stufe erweitern. Für die Ausnutzung ist physischer Zugriff und kein Benutzerkonto nötig, daher besteht das Risiko vor allem bei verlorenen, gestohlenen oder unbeaufsichtigten Geräten und gemeinsam genutzten PCs.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: Builds vor 10.0.26200.9974 und 10.0.26300.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Installation der Windows-Sicherheitsupdates vom November 2026 für jeden betroffenen Build (gemäss CVE-Eintrag sind die korrigierten Builds oben aufgeführt).
• Die passende KB-Nummer pro Build muss auf der MSRC-Advisory-Seite bestätigt werden; KB-Zuordnungen von Drittquellen sind nicht verifiziert.

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Bis zum Patch: physischen Zugriff auf Geräte einschränken, BitLocker und ein BIOS/UEFI-Passwort aktivieren sowie nicht benötigte USB-Ports auf gemeinsam genutzten oder öffentlich zugänglichen Geräten einschränken oder deaktivieren.

Ausnutzung

• Eine Ausnutzung ist nicht bekannt.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Offenlegung.
• VulDB meldet, dass kein öffentlicher Exploit verfügbar ist.
• Die CISA-SSVC-Bewertung von Microsoft lautet: Ausnutzung keine, nicht automatisierbar, vollständige technische Auswirkung.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Clients und Servern installieren und den korrigierten Build auf der MSRC-Advisory-Seite bestätigen.
• Laptops, die das Büro verlassen, sowie Geräte in öffentlich zugänglichen oder gemeinsam genutzten Bereichen priorisieren.
• Den physischen Zugriff auf Server und Arbeitsstationen einschränken und BitLocker aktivieren.
• Den Patch-Status mit dem Inventar oder dem Patch-Management-Werkzeug überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record CVE-2026-125135 www.cve.org
• VulDB CVE-2026-125135 vuldb.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• BleepingComputer Patch Tuesday November 2026 www.bleepingcomputer.com
• Strix CVE-2026-125135 www.strix.ai
• Senserva KB5131090 senserva.com
• Senserva KB5132059 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:33.