Windows Server DNS Server: Denial of Service durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read in der DNS-Server-Rolle von Windows Server 2012 bis 2025 erlaubt einem nicht authentifizierten Angreifer im Netzwerk einen Denial of Service. Gemäss CVSS-Vektor beschränkt sich die Auswirkung auf die Verfügbarkeit, es gibt keinen Verlust der Vertraulichkeit oder Integrität. Es sind keine Berechtigungen oder Benutzerinteraktion nötig, daher kann ein interner DNS-Server aus dem LAN oder von einem kompromittierten internen Host angegriffen werden. Das höchste Risiko besteht bei Internet-Exposition, was nur zutrifft, wenn öffentliches DNS auf Windows Server läuft.

Betroffen

• Windows Server 2012 (inklusive Server Core): Builds vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): Builds vor 6.3.9600.23470
• Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9612
• Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9376
• Windows Server 2022: Builds vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds vor 10.0.26100.33650
• Die Build-Nummern stammen von Drittanbieter-Spiegeln und müssen auf MSRC bestätigt werden.

Behoben in

• Installieren Sie das Microsoft-Sicherheitsupdate für Ihr Betriebssystem, wie auf MSRC aufgeführt (Veröffentlichungsdatum 13. Oktober 2026).
• Bestätigen Sie den korrigierten Build vor dem Rollout auf MSRC.
• Windows Server 2012 und 2012 R2 sind nicht mehr im Standard-Support; Patches sind in der Regel nur über Extended Security Updates (ESU) verfügbar. Prüfen Sie Ihren ESU-Status.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Die einzige aufgeführte Massnahme ist das Patch.

• Übergangsmassnahme (nicht von einer Herstellerquelle): Beschränken Sie, welche Hosts DNS auf UDP/TCP 53 erreichen können, und setzen Sie interne DNS-Server nicht dem Internet aus.

Ausnutzung

• In der Recherche wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• EPSS liegt bei etwa 1,3 %, die prognostizierte Ausnutzungswahrscheinlichkeit ist also gering.
• Der Status im CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Inventarisieren Sie alle Windows-DNS-Server, insbesondere Domain Controller und Systeme mit Windows Server 2012 oder 2012 R2.
• Bestätigen Sie den korrigierten Build auf MSRC und patchen Sie im nächsten Wartungsfenster; patchen Sie früher, wenn das System exponiert ist oder noch auf 2012/2012 R2 läuft.
• Beschränken Sie den Zugriff auf DNS über TCP/UDP 53 auf die nötigen Hosts.
• Überwachen Sie nach dem Patchen DNS-Dienstneustarts und Abstürze.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83635 msrc.microsoft.com
• Vulners NVD record CVE-2026-83635 vulners.com
• Vulners Microsoft MSCVE record MS:CVE-2026-83635 vulners.com
• Strix CVE record CVE-2026-83635 www.strix.ai
• OpenCVE CVE-2026-83635 app.opencve.io
• VulDB entry 418749 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:53.