Microsoft Windows Fax and Scan Service: Rechteausweitung über Heap-Überlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf (CWE-122) im Windows Fax and Scan Service erlaubt einem Angreifer mit einem Konto mit niedrigen Rechten auf dem lokalen System, seine Rechte zu erhöhen. Für den Angriff ist keine Benutzerinteraktion nötig, der Angreifer muss aber bereits Code auf dem betroffenen System ausführen können. Microsoft stuft die Schwachstelle als wichtig ein, mit einem CVSS-3.1-Basiswert von 7.8.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9512)
• Windows 10 Version 1809 (10.0.17763.0 bis < 10.0.17763.9245)
• Windows 10 Version 21H2 (10.0.19044.0 bis < 10.0.19044.7725)
• Windows 10 Version 22H2 (10.0.19045.0 bis < 10.0.19045.7725)
• Windows 11 Version 23H2 (10.0.22631.0 bis < 10.0.22631.7582)
• Windows 11 Version 24H2 (10.0.26100.0 bis < 10.0.26100.9445)
• Windows 11 Version 25H2 (10.0.26200.0 bis < 10.0.26200.9445)
• Windows 11 Version 26H1 (10.0.28000.0 bis < 10.0.28000.2954)
• Windows Server 2012 und 2012 R2, inklusive Server Core (6.2.9200.0 bis < 6.2.9200.26349; 6.3.9600.0 bis < 6.3.9600.23398)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis < 10.0.14393.9512)

Hinweis: Der CPE-Eintrag im CVE-Datensatz führt nur Windows 10 1607 auf, die Microsoft-Warnmeldung deckt jedoch die oben genannten Produkte ab.

Behoben in

• Für jedes betroffene Produkt das Microsoft-Sicherheitsupdate installieren, das den Build auf die angegebene Version oder höher bringt (zum Beispiel 10.0.14393.9512 für Windows 10 1607 und Server 2016, 10.0.17763.9245 für Windows 10 1809).
• Die genauen KB-Nummern stehen auf der MSRC-Seite zur Warnmeldung; die Build-Nummern oben stammen aus dem CVE-Datensatz und Drittanbieter-Spiegeln und sollten dort geprüft werden.

Umgehung

Unbekannt. Microsoft hat in den geprüften Quellen keine offizielle Workaround-Massnahme bestätigt. Das Deaktivieren des Windows Fax and Scan Service, sofern keine Fax- und Scan-Funktionen benötigt werden, verringert die Angriffsfläche; dies ist allgemeine Empfehlung und nicht von Microsoft bestätigt.

Ausnutzung

• Öffentlich bekannt gemacht: Nein.
• Ausgenutzt: Nein.
• Kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden, Stand 2. November 2026.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom 13. Oktober 2026 auf allen betroffenen Windows-Systemen installieren; Mehrbenutzer-PCs, Terminalserver und gemeinsam genutzte Arbeitsstationen priorisieren.
• Im Asset-Inventar nach Windows-10-1607-Systemen suchen, deren Supportende auf der Lifecycle-Seite von Microsoft prüfen und bei abgelaufenem Support ein Upgrade planen.
• Wo Fax- und Scan-Funktionen nicht genutzt werden, das Deaktivieren des Dienstes als Übergangsmassnahme in Betracht ziehen.
• Auf Anzeichen für lokale Rechteausweitung überwachen und den CISA-KEV-Katalog sowie die MSRC-Seite auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft MSRC advisory msrc.microsoft.com
• OpenCVE app.opencve.io
• Vulners (MS record) vulners.com
• Vulners (CVELIST record) vulners.com
• Strix www.strix.ai
• OffSeq Radar radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:36.