Microsoft AD FS: Denial of Service durch übermässige Speicherzuweisung

Zusammenfassung

Active Directory Federation Services (AD FS), eine Windows-Server-Rolle für föderierte Anmeldung und Single Sign-on, enthält eine Speicherzuweisung mit einem übermässig grossen Grössenwert. Ein nicht autorisierter Angreifer im Netzwerk kann einen Denial of Service auslösen, wodurch die AD-FS-Anmeldung nicht mehr verfügbar ist. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, und die Auswirkung beschränkt sich auf die Verfügbarkeit. Das Risiko ist bei AD-FS-Servern, die aus dem Internet erreichbar sind, am höchsten.

Betroffen

• Windows Server 2012 und 2012 R2 (inklusive Server Core): vor 6.2.9200.26434 bzw. vor 6.3.9600.23470
• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9376
• Windows Server 2022: vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): vor 10.0.26100.33650

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 für die oben aufgeführten Windows-Versionen installieren.
• KB-Nummern pro Betriebssystem: Unbekannt.

Umgehung

• Dem Hersteller ist kein spezifischer Workaround bekannt.
• Falls AD FS nicht benötigt wird, die Rolle AD FS deaktivieren oder deinstallieren, um die Exposition zu entfernen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Nicht im CISA-KEV-Katalog aufgeführt.
• VulDB meldet keinen bekannten Exploit.
• In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Alle AD-FS-Server identifizieren und prüfen, ob sie aus dem Internet erreichbar sind.
• AD-FS-Server im nächsten Wartungsfenster patchen, zuerst die aus dem Internet erreichbaren Systeme.
• Den Patchstand des Betriebssystems auf jedem AD-FS-Server überprüfen.
• AD FS ausser Betrieb nehmen, falls es nicht mehr benötigt wird.
• Den Supportstatus von Windows 10 1607 vor einer Weiterverwendung bei Microsoft prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85324 msrc.microsoft.com
• OpenCVE: CVE-2026-85324 app.opencve.io
• Vulners NVD entry: CVE-2026-85324 vulners.com
• VulDB: CVE-2026-85324 vuldb.com
• Vulners MSCVE entry: MS:CVE-2026-85324 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:41.