Microsoft Internet Messaging API: Heap-basierter Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) in der Microsoft Internet Messaging API ermöglicht die Ausführung von Code. Ein Eingabepuffer wird in einen Ausgabepuffer kopiert, ohne zu prüfen, ob die Eingabe hineinpasst, wodurch Speicher beschädigt werden kann. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen; eine Benutzerinteraktion ist nicht erforderlich. Der Microsoft-Titel nennt Remote Code Execution, der NVD-Vektor (AV:L) beschreibt jedoch einen lokalen Angriff; die Formulierung sollte mit Microsoft geklärt werden.

Betroffen

• Windows 10 Version 1607 (Builds unter 10.0.14393.9612; 32-Bit-Builds im Advisory zu bestätigen)
• Windows Server 2016 (Builds unter 10.0.14393.9612)
• Windows 10 Version 1809 (Builds unter 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds unter 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds unter 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds unter 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds unter 10.0.26100.9711)
• Windows Server 2012 und 2012 R2 (Builds siehe Advisory)

Behoben in

• Windows 10 Version 1607 und Server 2016: 10.0.14393.9612 (x64; 32-Bit-Build nicht bestätigt)
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.9711
• Windows Server 2012: 6.2.9200.26434

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Das Patchen ist die einzige bestätigte Behebung.

Ausnutzung

• Microsoft gibt an, dass kein öffentlich verfügbarer Exploit-Code existiert oder ein Exploit nur theoretisch ist; Exploited: No.
• CISA SSVC: Exploitation none, nicht automatisierbar.
• EPSS unter 1 Prozent (sehr niedrig).
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; der CISA-KEV-Katalog sollte erneut geprüft werden.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-Systemen installieren, zuerst auf Windows 10 1607 und Server 2016 mit mehreren Benutzern.
• Den 32-Bit-Build für Windows 10 1607 im Microsoft-Advisory vor dem Rollout prüfen.
• Prüfen, ob Windows 10 1607 noch unterstützt wird; falls nicht, ein Upgrade planen.
• Lokale Konten, RDS- bzw. Terminal-Server und gemeinsam genutzte Systeme überprüfen und auf Rechteausweitung überwachen.
• Den CISA-KEV-Katalog und das Advisory auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83919 msrc.microsoft.com
• Vulners: CVE-2026-83919 (CNA data) vulners.com
• OpenCVE: CVE-2026-83919 (NVD data) app.opencve.io
• VulDB: CVE-2026-83919 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:34.