Windows Camera Frame Server Monitor: Heap-Überlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Dienst Windows Camera Frame Server Monitor ermöglicht es einem Angreifer, der bereits Zugriff auf ein Konto mit niedrigen Rechten auf dem Host hat, seine Rechte zu erweitern. Der Angriff muss lokal erfolgen und erfordert gültige Benutzerzugangsdaten, aber keine Benutzerinteraktion. Bei erfolgreicher Ausnutzung kann der Angreifer die volle Kontrolle über das betroffene System erlangen (hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit).

Betroffen

• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Hinweis: Die Build-Bereiche für Windows 11 und Server stammen aus einer Zweitquelle und sind noch nicht gegen MSRC verifiziert.

Behoben in

• Die von Microsoft für die betroffenen Versionen veröffentlichten Sicherheitsupdates installieren (Build-Nummern wie oben aufgeführt).
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert. Eine Drittquelle empfiehlt, den Dienst Windows Camera Frame Server zu deaktivieren, wenn keine Kamerafunktionen benötigt werden; dies ist keine Empfehlung von Microsoft für diese CVE.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist kein öffentlicher Exploit-Code bekannt (CVSS-Temporalmetrik E:U).
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Microsofts Kennzeichen für festgestellte Ausnutzung: Unbekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Serversysteme so rasch wie möglich mit dem Microsoft-Sicherheitsupdate patchen; Priorität haben Mehrbenutzer-Arbeitsstationen sowie Terminal- und Shared-Server.
• Die Build-Nummern vor dem Rollout anhand des MSRC-Advisory überprüfen.
• Auf Servern ohne Kamerabetrieb kann der Dienst Windows Camera Frame Server nach einem Test deaktiviert werden.
• Prüfen, ob Windows-10-Systeme noch über ESU-Abdeckung oder einen Upgrade-Pfad verfügen.
• Endpunkte auf ungewöhnliche Versuche zur Rechteausweitung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-85942 (Microsoft CNA) www.cve.org
• Microsoft Security Update Guide CVE-2026-85942 msrc.microsoft.com
• Strix CVE-2026-85942 (secondary, verify) www.strix.ai
• SentinelOne vulnerability database (sibling CVE, component description) www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:22.