Microsoft Office Outlook: Heap-basierter Pufferüberlauf ermöglicht Code-Ausführung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Office Outlook, bereitgestellt über Microsoft 365 Apps und Office LTSC, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Gemäss CVSS-Vektor ist eine Benutzerinteraktion (UI:R) nötig, und Berechtigungen sind nicht erforderlich. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft (CVSS 8.8). Microsoft stuft die Schwachstelle unterhalb der kritischen Outlook-Schwachstellen desselben Updates vom Oktober 2026 ein, und eine öffentliche Ausnutzung wurde nicht gemeldet.

Betroffen

• Microsoft 365 Apps for Enterprise: 16.0.1 bis zur korrigierten Version (genaue korrigierte Version nicht verifiziert)
• Office LTSC 2021: 16.0.1 bis 16.0.14334.20974
• Office LTSC 2024: 16.0.0 bis 16.0.17932.21056

Behoben in

• Microsoft 365 Apps for Enterprise: Unbekannt. Die korrigierte Version ist dem Microsoft Security Update Guide zu entnehmen.
• Office LTSC 2021: 16.0.14334.20974 (gemäss offiziellem CVE-Eintrag; nicht unabhängig verifiziert)
• Office LTSC 2024: 16.0.17932.21056 (gemäss offiziellem CVE-Eintrag; nicht unabhängig verifiziert)

Umgehung

Unbekannt. Es ist kein Workaround veröffentlicht. Das Installieren des Sicherheitsupdates ist die Massnahme.

Ausnutzung

• Gemäss Microsoft, wie von Drittquellen berichtet, nicht öffentlich bekannt und nicht als ausgenutzt bekannt
• Microsoft-Bewertung der Ausnutzbarkeit: Exploitation Less Likely
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total

Unsere Empfehlung

• Die Microsoft 365- und Office-Updates vom Oktober 2026 auf allen Outlook-Clients installieren, zuerst die oben genannten LTSC-Versionen.
• Die installierte Version von Microsoft 365 Apps mit dem MSRC-Advisory abgleichen, da die korrigierte Version für dieses Produkt hier nicht bestätigt ist.
• Prüfen, welche Office-Versionen noch unterstützt sind; Outlook 2016 und 2019 erhielten laut Berichten keine Sicherheitsupdates im Oktober 2026, daher ist eine Migration zu planen.
• Unbekannte Anhänge und verdächtige E-Mails am Mail-Gateway filtern und Benutzer schulen, unerwartete Nachrichten nicht zu öffnen.
• Bis alle Clients gepatcht sind, auf ungewöhnliche Prozessaktivitäten von Outlook überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70257 msrc.microsoft.com
• Robert 365: Latest updates for classic Outlook robert365.com
• Vulners: CISA Vulnrichment CVE-2026-70257 vulners.com
• Strix: CVE-2026-70257 www.strix.ai
• Office-watch: October 2026 Patch Tuesday Office critical fixes office-watch.com
• Cyberexperts: Patch Tuesday October 2026 cyberexperts.com
• OpenCVE: CVE-2026-70257 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:48.