Microsoft Power Apps: Remote Code Execution aufgrund eines Origin-Validierungsfehlers
Zusammenfassung
Microsoft Power Apps weist einen Origin-Validierungsfehler (CWE-346) auf, der einem autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Gemäss CVSS-Vektor benötigt ein Angreifer niedrige Berechtigungen und eine Benutzerinteraktion, etwa das Öffnen eines bösartigen Links, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Der NVD-Eintrag ist noch in Analyse, und die betroffenen Versionen widersprechen sich zwischen den Quellen.
Betroffen
- Power Apps für Android: 1.0.0 bis vor 3.26085.7 (gemäss CNA-Eintrag)
- Power Apps Cloud-Dienst: Unbekannt. Die Quellen widersprechen sich zum betroffenen Bereich.
Behoben in
- Power Apps für Android: 3.26085.7 (gemäss CNA-Eintrag; eine sekundäre Quelle ist nicht verifiziert)
- Power Apps Cloud-Dienst: Unbekannt. Microsoft behebt den Fehler zentral.
Umgehung
- In den geprüften Quellen ist keine Workaround dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung. Der CISA-SSVC-Eintrag führt Exploitation als none und Automatisierbarkeit als no auf.
- Kein öffentlicher Proof of Concept bekannt.
- Nicht in der CISA KEV aufgeführt (gemäss Strix).
- Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
Unsere Empfehlung
- Power Apps für Android auf mobilen Geräten auf Build 3.26085.7 oder neuer aktualisieren, nachdem die Behebung mit der MSRC-Meldung verifiziert wurde.
- Den Power Apps Cloud-Dienst in Ihrem Microsoft-365-Mandanten auf Updates gemäss der MSRC-Meldung prüfen.
- Lizenzierung und Nutzung von Power Apps auf die Fälle beschränken, in denen sie benötigt werden.
- Benutzer schulen, unbekannte Links nicht zu öffnen, und auf verdächtige Power-Apps-Aktivitäten achten.
- Priorität: mittel für die meisten KMU.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-70213 msrc.microsoft.com
- SentinelOne vulnerability database: CVE-2026-70213 www.sentinelone.com
- Strix: CVE-2026-70213 www.strix.ai
- OpenCVE: CVE-2026-70213 app.opencve.io
- Vulners CVE list: CVE-2026-70213 (CNA data) vulners.com
- Rapid7: Patch Tuesday October 2026 www.rapid7.com
- AhnLab ASEC: CVE-2026-70213 asec.ahnlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.