Windows Server AD FS: Dienstverweigerung durch fehlende Ressourcenbegrenzung

Zusammenfassung

Active Directory Federation Services (AD FS) in Windows Server weist Ressourcen ohne Begrenzung oder Drosselung zu (CWE-770). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann diese Ressourcen erschöpfen und einen Dienstausfall auslösen, wodurch Anmeldungen bei Microsoft 365 und anderen föderierten Anwendungen blockiert werden können. Das Risiko ist am höchsten, wenn AD FS über das Internet erreichbar ist, beispielsweise über einen Web Application Proxy.

Betroffen

• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis < 6.3.9600.23470
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis < 10.0.14393.9612
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis < 10.0.17763.9376
• Windows Server 2022: 10.0.20348.0 bis < 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis < 10.0.26100.33650
• Hinweis: Der CPE nennt Windows Server 2012 (Basisversion), die Daten des CNA nennen 2012 R2. Das genaue Produkt im MSRC-Advisory bestätigen.

Behoben in

• Windows Server 2012 R2: 6.3.9600.23470 oder neuer
• Windows Server 2016: 10.0.14393.9612 oder neuer
• Windows Server 2019: 10.0.17763.9376 oder neuer
• Windows Server 2022: 10.0.20348.5761 oder neuer
• Windows Server 2025: 10.0.26100.33650 oder neuer
• Die kumulativen Updates KB5126646 (Server 2025) und KB5126651 (Server 2019) sind für Oktober 2026 aufgeführt, es ist jedoch nicht bestätigt, dass sie die Korrektur enthalten. Die KB pro Betriebssystem im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Falls kein Patch eingespielt werden kann, den Netzwerkzugriff auf die AD-FS-Endpunkte einschränken.

Ausnutzung

• Nicht im Katalog CISA KEV enthalten.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• EPSS 0.01056 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
• Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Im Patch-Zyklus Oktober 2026 einspielen, zuerst die über das Internet erreichbaren AD-FS-Farmen.
• Betroffenes Produkt und KB-Nummern im MSRC-Advisory bestätigen.
• Prüfen, ob AD FS extern publiziert ist, beispielsweise über einen Web Application Proxy.
• Für Hosts mit Windows Server 2012 R2 die ESU-Berechtigung prüfen und ESU oder eine Migration planen.
• Auf einen öffentlichen Proof of Concept oder eine Aufnahme in KEV achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85321 msrc.microsoft.com
• SANS ISC: October 2026 Microsoft Patch Tuesday isc.sans.edu
• Vulners: CVE-2026-85321 vulners.com
• OpenCVE: CVE-2026-85321 app.opencve.io
• Vulners (Rapid7): CVE-2026-85321 EPSS vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:38.