Microsoft GDK: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) im Microsoft Game Development Kit (GDK), der im CVE-Eintrag mit Xbox in Verbindung gebracht wird, erlaubt einem nicht authentifizierten Angreifer die Ausführung von Code über das Netzwerk. Der CVE-Eintrag weist einen CVSS-3.1-Basiswert von 9.8 (kritisch) aus. Betroffen sind vor allem Systeme, auf denen das GDK installiert ist, etwa Entwickler-Arbeitsstationen und Build-Server; für den Angriff sind weder Benutzerinteraktion noch Zugangsdaten nötig.

Betroffen

• Microsoft GDK, Versionen 1.0.0.0 bis vor 2610 (gemäss CVE-Eintrag und Drittanbieter-Aggregator; untere Grenze nicht gegen MSRC verifiziert)
• Unbekannt, ob ältere GDK-Zweige betroffen oder behoben sind.

Behoben in

• Microsoft GDK 2610 oder neuer (gemäss Drittanbieter-Aggregator; auf dem MSRC-Advisory zu bestätigen).

Umgehung

Unbekannt. Kein Workaround des Herstellers identifiziert.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung bekannt (laut Aggregator nicht im CISA KEV; noch nicht direkt geprüft).
• Laut Aggregator kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert.
• Die CVE wurde am 10. November 2026 veröffentlicht, und der NVD hatte sie noch nicht analysiert.

Unsere Empfehlung

• Abklären, ob Mitarbeitende oder Dienstleister mit dem Microsoft GDK entwickeln, und GDK-Installationen prüfen, insbesondere auf Build-Agenten und Entwickler-Rechnern.
• Wo installiert, ein Update auf GDK 2610 oder neuer planen, nachdem die behobene Version im MSRC-Advisory bestätigt wurde.
• Netzwerkzugriff auf GDK-Build-Maschinen einschränken, bis sie gepatcht sind.
• CISA KEV und Exploit-Tracker in den kommenden Wochen erneut prüfen, da die CVE neu ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide advisory (CVE-2026-66801) msrc.microsoft.com
• OffSeq CVE radar (fix version, exploitation status) radar.offseq.com
• Microsoft GDK October 2026 release (v2610) github.com
• Microsoft GDK repository github.com
• CWE-122: Heap-based Buffer Overflow cwe.mitre.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:36.