Microsoft Skype for Business Server: Path Traversal erlaubt Remote Code Execution

Zusammenfassung

Eine absolute Path-Traversal-Schwachstelle im lokal betriebenen Skype for Business Server, der unter dem Namen Lync ebenfalls erfasst ist, erlaubt einem autorisierten Angreifer die Ausführung von Code über das Netzwerk. Der Angreifer benötigt niedrige Berechtigungen und ein gültiges Dateitoken, und die Schwachstelle wird mit CVSS 8.8 als hoch eingestuft. Die Exposition der Persistent-Chat- und Front-End-Dienste im Internet erhöht das Risiko.

Betroffen

• Microsoft Skype for Business Server 2015 CU13: betroffen 9319.0 bis < 6.0.9319.886
• Microsoft Skype for Business Server 2019 CU8: betroffen 2046.0 bis < 7.0.2046.583
• Microsoft Skype for Business Server Subscription Edition CU1: betroffen 2046.0 bis < 7.0.2046.889
• Lync: Unbekannt.

Behoben in

• Skype for Business Server 2015 CU13: KB5132779 (Build 6.0.9319.886, noch nicht gegen die Microsoft-KB-Seite verifiziert)
• Skype for Business Server 2019 CU8: KB5131693 (Build 7.0.2046.583, noch nicht gegen die Microsoft-KB-Seite verifiziert)
• Skype for Business Server Subscription Edition CU1: KB5131692 (Build 7.0.2046.889, noch nicht gegen die Microsoft-KB-Seite verifiziert)
• KB-Nummern und Builds stammen aus Sekundärquellen. Bitte vor der Verwendung im Microsoft Update Guide prüfen.

Umgehung

In den geprüften Quellen ist kein Workaround dokumentiert. Die Einschränkung des externen Zugriffs auf die Persistent-Chat- und Front-End-Dienste reduziert die Exposition, ist jedoch eine allgemeine Massnahme und kein Workaround des Herstellers.

Ausnutzung

• Nicht in der CISA-KEV-Liste enthalten.
• CISA-SSVC-Daten: Ausnutzung none, automatisierbar no.
• Kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.
• Microsoft-Bewertung der Ausnutzbarkeit: E:U (Unproven).

Unsere Empfehlung

• Die Sicherheitsupdates für alle betroffenen Skype-for-Business-Server-Installationen so rasch wie möglich einspielen.
• Prüfen, ob Persistent Chat oder Front-End-Dienste aus dem Internet erreichbar sind, und den Zugriff wo möglich einschränken.
• Logs auf Path-Traversal-Anfragen prüfen.
• Den Supportstatus der eingesetzten Skype-for-Business-Server-Version bei Microsoft bestätigen. Falls die Plattform nicht mehr unterstützt wird, eine Migration planen, zum Beispiel zu Teams.
• Bei Microsoft den Status von Lync erfragen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70297 msrc.microsoft.com
• Vulners: NVD CVE-2026-70297 (KB numbers, secondary) vulners.com
• OpenCVE: CVE-2026-70297 app.opencve.io
• Tenable plugin 366092 (build numbers, secondary) www.tenable.com
• Strix: CVE-2026-70297 (secondary) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:44.