Microsoft Dataverse: Remote Code Execution über Deserialisierung
Zusammenfassung
Microsoft Dataverse, die Datenplattform hinter den Business-Anwendungen von Microsoft, enthält eine Deserialisierungsschwachstelle (CWE-502), die die Deserialisierung nicht vertrauenswürdiger Daten erlaubt. Gemäss CVSS-Vektor könnte ein nicht authentifizierter Angreifer mit Netzwerkzugriff ohne Benutzerinteraktion Code ausführen; der CVSS-Basiswert beträgt 9.8. Microsoft gibt an, dass die Schwachstelle auf seiner Seite bereits vollständig entschärft wurde und keine Massnahmen durch Kunden erforderlich sind.
Betroffen
- Microsoft Dataverse (von Microsoft gehosteter Dienst)
- Betroffene Versionen: Unbekannt. Die Advisory von Microsoft enthält keine Versionsangaben.
Behoben in
- Von Microsoft dienstseitig entschärft. Es wird kein Kunden-Patch und keine korrigierte Version veröffentlicht.
Umgehung
- Gemäss Microsoft ist kein kundenseitiger Workaround erforderlich.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Der temporale Vektor von Microsoft zeigt die Exploit-Reife 'Unproven'.
- Öffentlicher Proof-of-Concept: Keiner gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Keine Massnahmen erforderlich bei Nutzung von Microsoft-gehostetem Dataverse.
- Lassen Sie sich von Ihrem Microsoft-365- oder Tenant-Administrator bestätigen, dass keine selbst gehostete oder lokale Dataverse-Komponente im Einsatz ist.
- Überwachen Sie die MSRC-Advisory auf Änderungen, die kundenseitige Schritte ergänzen könnten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-88131 msrc.microsoft.com
- Talos: Microsoft Patch Tuesday for October 2026 blog.talosintelligence.com
- VulDB: CVE-2026-88131 vuldb.com
- Positive Technologies: PT-2026-108300 vulners.com
- CIRCL: CVE-2026-88131 vulners.com
- Strix: CVE-2026-88131 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.