Microsoft Windows DFS: Heap-based Buffer Overflow ermöglicht Remote Code Execution

Zusammenfassung

Ein Heap-based Buffer Overflow im Windows Distributed File System (DFS) erlaubt einem Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen, das das betroffene System erreichen kann, und es ist keine Benutzerinteraktion erforderlich. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Das Hauptrisiko ist eine seitliche Bewegung aus einem kompromittierten Benutzerkonto, nicht direkte Angriffe aus dem Internet.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und 2012 (Server Core) (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und 2012 R2 (Server Core) (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Behoben in

• Windows 10 Version 1607 / Windows Server 2016: Build 10.0.14393.9612 oder neuer (KB-Nummer: im MSRC-Advisory prüfen)
• Windows 10 Version 1809: Build 10.0.17763.9376 oder neuer
• Windows 11 Version 24H2 und 25H2, Windows 11 Version 26H2: Build 10.0.26100.9711 oder neuer (Builds 25H2 und 26H2 wie im CVE-Eintrag angegeben)
• Andere Versionen: Die korrigierten Builds sind im MSRC-Advisory aufgeführt. Der OpenCVE-Spiegel nennt einen Build für 22H2, der vermutlich ein Tippfehler ist, daher auf MSRC prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven (E:U) ein und meldet zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung.
• In den geprüften Quellen wurde kein Eintrag im CISA-KEV-Katalog gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• EPSS 0.00851 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Alle Windows-10-1607-, Windows-Server-2016- und andere betroffene Systeme inventarisieren, einschliesslich alter Dateiserver.
• Das neueste kumulative Update von Microsoft installieren, das den korrigierten Build der jeweiligen Version enthält.
• Das Supportende von Windows 10 1607 auf der Lifecycle-Seite von Microsoft prüfen und bei Überschreitung oder baldigem Ablauf eine Migration planen.
• Den Zugriff auf SMB und DFS auf interne Netzwerksegmente beschränken und die Konten begrenzen, die Dateiserver erreichen können.
• DFS nicht aus dem Internet erreichbar machen und auf ungewöhnliche SMB- oder DFS-Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory msrc.microsoft.com
• CNA/NVD mirror (vulners CVE list) vulners.com
• NVD mirror (vulners) vulners.com
• OpenCVE app.opencve.io
• Strix CVE page www.strix.ai
• VulDB vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:17.