WatchGuard Endpoint Security: Fehlende Authentifizierung im Kernel-Speicherzugriffstreiber
Zusammenfassung
Der Kernel Memory Access Driver (PSKMAD), der in WatchGuard Endpoint Security unter Windows eingesetzt wird, verfügt über keine Authentifizierung für eine kritische Funktion. Ein lokaler Angreifer mit niedrigen Berechtigungen kann den Zugriffskontroll-Handshake des Treibers umgehen und beliebige privilegierte Befehle an ihn senden. Dadurch können Kernel- und Prozessspeicher offengelegt werden, was Zugangsdaten, Token und Schlüssel gefährden kann.
Betroffen
- WatchGuard Endpoint Security unter Windows, Versionen ab 0 bis vor 8.00.26.0012
- Unbekannt: Panda Dome und weitere Panda-Consumer-Produkte sowie deren korrigierte Versionen
Behoben in
- Windows-Schutz 8.00.26.0012 oder neuer (Herstellerhinweis, Release vom 1. Oktober 2026)
Umgehung
- Sofern betrieblich machbar, den verwundbaren Treiber nach Prüfung der Kompatibilität und Test des Endpoint-Schutzes blockieren, da das Blockieren eines Sicherheitstreibers den Schutz beeinträchtigen kann
- Auf ungewöhnliche Zugriffe auf die Geräteschnittstelle des Treibers und auf verdächtige Zugriffe auf Prozessspeicher achten
- Übliche prozessbezogene Zugriffskontrollen verhindern die Speicherexposition möglicherweise nicht, da der Treiber von Microsofts Hardware Compatibility Publisher signiert ist
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog gelistet
- CISA SSVC (Vulnrichment): Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Eine öffentliche Analyse mit Proof of Concept existiert (Exploit Pack); sie wurde auf einem vollständig gepatchten Windows-11-System mit VBS/HVCI demonstriert
Unsere Empfehlung
- Endpoint Security auf allen Windows-Endpunkten auf 8.00.26.0012 oder neuer aktualisieren
- Die Endpoint-Security-Version auf jedem Gerät prüfen und nach dem betroffenen Treiber suchen
- Endpunkte priorisieren, auf denen Benutzer lokal Code ausführen könnten, etwa durch Phishing oder Makros
- Sicherstellen, dass Flotten bei Managed-Service-Providern aktualisiert sind
- Auf verdächtige Zugriffe auf den Treiber und auf das Sammeln von Prozessspeicher achten
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
TheMalwareGuardian/CVE-2026-13043
Quellen der Recherche
- WatchGuard PSIRT advisory CVE-2026-13043 psirt.watchguard.com
- Exploit Pack research write-up www.exploitpack.com
- GBHackers report gbhackers.com
- CyberPress report cyberpress.org
- WindowsForum release note summary windowsforum.com
- Canadian Cyber Centre notice AV26-990 (via malware.news) malware.news
- OpenCVE CVE-2026-13043 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:40.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.