Microsoft Bookings: Autorisierungsumgehung über einen vom Benutzer kontrollierten Schlüssel
Zusammenfassung
Microsoft Bookings, ein Cloud-Dienst für Online-Terminplanung und Kundenbuchungen in Microsoft 365, enthält eine Autorisierungsumgehung aufgrund eines vom Benutzer kontrollierten Schlüssels (CWE-639). Ein nicht authentifizierter Angreifer im Netzwerk kann diese Schwachstelle ausnutzen, um Privilegien zu erweitern; laut CVSS-Vektor ist der Scope verändert und die Integrität stark betroffen. Microsoft behebt die Schwachstelle im eigenen Dienst, weshalb Kunden keinen Patch installieren müssen.
Betroffen
- Microsoft Bookings (Cloud-Dienst in Microsoft 365)
- Genaue betroffene Dienstversionen: Unbekannt.
Behoben in
- Serverseitig von Microsoft behoben, veröffentlicht am 8. Oktober 2026.
- Massnahmen durch Kunden: keine erforderlich laut Microsoft.
- Genauer Zeitpunkt der Behebung: Unbekannt.
Umgehung
- Kein kundenseitiger Workaround durch Microsoft dokumentiert.
- Allgemeine Massnahme: Anwendungs- und Audit-Logs auf Rechteänderungen und Zugriffe durch Benutzer mit niedrigen Privilegien prüfen.
Ausnutzung
- Einschätzung von Microsoft zur Ausnutzbarkeit: bei Veröffentlichung nicht ausgenutzt; Reifegrad des Exploit-Codes "Unproven".
- Öffentlicher Proof of Concept: Unbekannt.
- Eintrag im CISA KEV-Katalog: Nicht verifiziert.
Unsere Empfehlung
- Prüfen Sie, ob Microsoft Bookings in Ihrem Microsoft-365-Mandanten aktiviert ist.
- Prüfen Sie Bookings-bezogene Audit-Logs sowie Änderungen von Admin- und Mitarbeiterrollen ab Oktober 2026.
- Beschränken Sie die Microsoft-365-Admin-Rollen und stellen Sie sicher, dass das Service-Health-Dashboard von Microsoft keinen offenen Vorfall zeigt.
- Beobachten Sie Microsoft-Advisory und CISA KEV auf Änderungen des Ausnutzungsstatus.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide (CVE record) msrc.microsoft.com
- MSRC Advisory CVE-2026-94510 msrc.microsoft.com
- TheHackerWire CVE-2026-94510 analysis www.thehackerwire.com
- NVD/CIRCL record via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:35.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.