Microsoft OpenSSH for Windows: Denial of Service durch unbegrenzte Ressourcenzuweisung

Zusammenfassung

Microsofts OpenSSH für Windows weist Ressourcen ohne Begrenzung oder Drosselung zu (CWE-770). Ein entfernter, nicht authentifizierter Angreifer kann diese Ressourcen erschöpfen und den SSH-Dienst stören. Betroffen ist nur die Verfügbarkeit, und die Gefährdung hängt davon ab, ob der OpenSSH-Server unter Windows aktiviert und über das Netzwerk erreichbar ist.

Betroffen

• Windows 10 Version 1809 (Builds unter 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds unter 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds unter 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds unter 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds unter 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds unter 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds unter 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds unter 10.0.26300.9711)
• Windows Server 2019, einschliesslich Server Core (Builds unter 10.0.17763.9376)
• Windows Server 2022 (Builds unter 10.0.20348.5761)
• Windows Server 2025, einschliesslich Server Core (Builds unter 10.0.26100.33650)

Hinweis: Der NVD-CPE listet nur Windows 10 1809. Der Herstellereintrag listet die oben genannten Produkte.

Behoben in

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 für die betroffene Windows-Version installieren.
• Minimale korrigierte Builds: 10.0.17763.9376 (1809, Server 2019), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2), 10.0.20348.5761 (Server 2022), 10.0.26100.33650 (Server 2025).
• Builds und KB-Nummern vor dem Ausrollen im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Die Exposition verringern, indem der Zugriff auf den SSH-Port auf Management-Netze beschränkt und der OpenSSH-Serverdienst deaktiviert wird, wo er nicht benötigt wird.

Ausnutzung

• CISA SSVC: Exploitation keine, automatisierbar ja, technische Auswirkung partiell.
• Nicht im CISA-KEV-Katalog gelistet.
• EPSS 0.01105.
• Kein öffentlicher Proof of Concept und kein Exploit gefunden. Dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Betroffene Windows-Hosts mit dem Sicherheitsupdate vom Oktober 2026 patchen, zuerst internetexponierte Server mit OpenSSH-Server.
• Auf jedem Host prüfen, ob das OpenSSH-Serverfeature installiert und aktiviert ist und ob es aus unvertrauenswürdigen Netzen erreichbar ist.
• SSH-Zugriff mit Firewall-Regeln einschränken und den Dienst deaktivieren, wo er nicht benötigt wird.
• Den Supportstatus von Windows 10 1809 prüfen und bei fehlendem Support eine Migration planen.
• Verfügbarkeit des SSH-Dienstes sowie Logs auf ungewöhnliche Verbindungsfluten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide msrc.microsoft.com
• Vulners Microsoft advisory mirror vulners.com
• Vulners CVE list record vulners.com
• OpenCVE app.opencve.io
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:05.