Skype for Business Server: Absolute Path Traversal ermöglicht Rechteerweiterung
Zusammenfassung
Absolute Path Traversal in Skype for Business Server und Microsoft Lync ermöglicht einem berechtigten Angreifer mit Netzwerkzugriff eine Rechteerweiterung. Der CVSS-3.1-Basiswert liegt bei 8.1 (Hoch), mit hohen Auswirkungen auf Integrität und Verfügbarkeit. Der NVD-Status war zum Zeitpunkt der Recherche noch Awaiting Analysis, und die Advisory-Seite des Herstellers konnte nicht verifiziert werden.
Betroffen
- Skype for Business Server 2015 CU13: Builds 9319.0 bis vor 6.0.9319.886
- Skype for Business Server 2019 CU8: Builds 2046.0 bis vor 7.0.2046.583
- Skype for Business Server Subscription Edition CU1: Builds 2046.0 bis vor 7.0.2046.889
Behoben in
- Subscription Edition CU1 Security Update 2: KB5131692 (Build 7.0.2046.889)
- 2019 CU8 Security Update 4: KB5131693 (Build 7.0.2046.583)
- 2015 CU13 Security Update 4: KB5132779 (Build 6.0.9319.886)
- Unbekannt, ob die Subscription Edition RTM einen Fix erhält.
Umgehung
Keine Workaround-Massnahme des Herstellers gefunden. Das Patchen ist die einzige dokumentierte Abhilfe.
Ausnutzung
- Laut Recherche nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC-Daten im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Serverversion und Build prüfen und das passende KB-Update installieren.
- Zugriff auf das interne Netzwerk beschränken und prüfen, welche Konten gültige Zugangsdaten besitzen.
- Migration von Skype for Business Server 2015 und 2019 planen: Beide sind nicht mehr im Support, und Oktober 2026 ist der letzte Monat für die Berechtigung zu Period-2-ESU-Updates. Server ohne ESU-Registrierung erhalten diesen Fix und künftige Fixes nicht.
- Ungewöhnliche Rechteänderungen auf Skype-for-Business-Servern überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-83746 msrc.microsoft.com
- Microsoft KB5131692: Skype for Business Subscription Edition support.microsoft.com
- Microsoft Tech Community: October 2026 Skype for Business Server security updates techcommunity.microsoft.com
- Vulners NVD record CVE-2026-83746 vulners.com
- OpenCVE: CVE-2026-83746 app.opencve.io
- Tenable plugin 366092 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.