Windows Broadcast DVR User Service: Heap-basierter Pufferüberlauf in Rechteausweitung

Zusammenfassung

Der Windows Broadcast DVR User Service, der für Game-Aufnahmen und Live-Übertragungen genutzt wird, enthält einen heap-basierten Pufferüberlauf, der eine Rechteausweitung ermöglicht. Ein Angreifer mit einem lokalen Konto mit niedrigen Rechten kann die Lücke ausnutzen, um höhere Rechte und potenziell die volle Kontrolle über das System zu erlangen. Voraussetzung sind eine hohe Komplexität und ein bestehender Zugriff auf das System; die Lücke ist nicht direkt aus dem Internet erreichbar.

Betroffen

• Microsoft Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Microsoft Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Microsoft Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Microsoft Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711 (gemäss CVE-Eintrag, Sekundärquelle nicht verifiziert)
• Microsoft Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974 (gemäss CVE-Eintrag, Sekundärquelle nicht verifiziert)
• Microsoft Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974 (gemäss CVE-Eintrag, Sekundärquelle nicht verifiziert)
• Microsoft Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501 (gemäss CVE-Eintrag, Sekundärquelle nicht verifiziert)
• Microsoft Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974 (gemäss CVE-Eintrag, Sekundärquelle nicht verifiziert)
• Windows Server: Unbekannt.

Behoben in

• Windows 10 Version 1809: Build 10.0.17763.9487 oder neuer
• Windows 10 Version 21H2: Build 10.0.19044.7846 oder neuer
• Windows 10 Version 22H2: Build 10.0.19045.7846 oder neuer
• Windows 11 23H2, 24H2, 25H2, 26H1, 26H2: Fixe Builds gemäss Sekundärquelle sind 22631.7711, 26100.9974, 26200.9974, 28000.3501 und 26300.9974 (nicht verifiziert)
• Die Korrektur ist Teil der kumulativen Updates vom November 2026. KB-Nummer: Unbekannt.

Umgehung

• Keine vom Hersteller dokumentierte Massnahme gefunden.
• Eigene Empfehlung (nicht vom Hersteller bestätigt): Wenn die Game-DVR- und Übertragungsfunktionen nicht benötigt werden, den Dienst BcastDVRUserService deaktivieren. Vorher auf Geschäftssystemen testen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Exploit-Reife im CVSS-Vektor: E:U (unbewiesen).
• Keine Quelle führt diese CVE als aktiv ausgenutzt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10- und Windows-11-Systemen installieren und die Build-Nummer anschliessend prüfen.
• Priorität haben Arbeitsstationen und gemeinsam genutzte PCs, RDS- oder Terminal-Server sowie Systeme, auf denen nicht vertrauenswürdige Benutzer lokal angemeldet sind.
• Im MSRC Security Update Guide die KB-Zuordnung und den Status für Windows Server prüfen.
• Falls die Game-DVR-Funktion nicht benötigt wird, kann der Dienst nach einem Test deaktiviert werden.
• Auf ungewöhnliche lokale Rechteausweitungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-94529 msrc.microsoft.com
• CVE Record CVE-2026-94529 www.cve.org
• Strix.ai: CVE-2026-94529 www.strix.ai
• BcastDVRUserService service description batcmd.com
• SmartPCUtilities: BcastDVRUserService www.smartpcutilities.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:07.