Windows Event Tracing: Remote Code Execution durch Heap-Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Komponente Windows Event Tracing erlaubt einem entfernten Angreifer, Code auf betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen auszuführen. Für die erfolgreiche Ausnutzung muss ein Benutzer eine Aktion ausführen, etwa präparierte Inhalte öffnen, und es sind keine Berechtigungen nötig. Der CVSS-Basiswert beträgt 8.8, und Microsoft stuft die Ausnutzung zum Zeitpunkt der Veröffentlichung als unwahrscheinlich ein.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2, inklusive Server-Core-Installationen (6.2.9200.0 bis vor 6.2.9200.26434; 6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Hinweis: Die CPE-Daten listen nur Windows 10 1607. Der CNA-Eintrag listet die oben genannten Versionen.

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft für die betroffene Version, sodass der Build auf oder über dem oben genannten Fix-Build liegt (zum Beispiel 10.0.14393.9612 für Windows 10 1607).
• Überprüfen Sie die genauen Fix-Builds und KB-Nummern auf der MSRC-Advisory-Seite.

Umgehung

Unbekannt. In den verfügbaren Quellen wurde kein Workaround des Herstellers identifiziert.

Ausnutzung

• Einschätzung von Microsoft bei Veröffentlichung: nicht öffentlich bekannt, nicht ausgenutzt, Ausnutzung unwahrscheinlich.
• Es wurde kein öffentlicher Proof-of-Concept-Code und keine Ausnutzung in freier Wildbahn gefunden. Dies ist keine Bestätigung, dass keine existiert.
• Die Ausnutzung erfordert eine Benutzerinteraktion und keine Berechtigungen.

Unsere Empfehlung

• Erfassen Sie alle Windows-Systeme mit dem genauen Build (winver oder systeminfo).
• Patchen Sie betroffene Systeme zuerst, beginnend mit Windows 10 1607 und 1809 sowie allen Server-2012- oder 2016-Systemen.
• Prüfen Sie, ob Microsoft für Windows 10 1607 noch Sicherheitsupdates bereitstellt. Kann ein System nicht gepatcht werden, schränken Sie dessen Netzwerkexposition ein und isolieren Sie es.
• Überwachen Sie ungewöhnliche Prozessaktivitäten und prüfen Sie das MSRC-Advisory sowie CISA KEV erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft MSRC Security Update Guide msrc.microsoft.com
• Vulners NVD mirror vulners.com
• Strix.ai CVE entry www.strix.ai
• VulDB entry vuldb.com
• OpenCVE entry app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:27.