Windows COM: Lokale Rechteausweitung durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow im Windows-COM-Framework erlaubt einem berechtigten lokalen Angreifer, seine Rechte auf dem betroffenen System zu erweitern. Der Angreifer benötigt eine lokale Sitzung mit niedrigen Rechten, zum Beispiel nach Phishing, Malware oder mit gestohlenen Zugangsdaten, und es ist keine Benutzerinteraktion nötig. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden mit hoch bewertet (CVSS 3.1: 7.8), und das Risiko ist auf Mehrbenutzersystemen wie Terminal-Servern, gemeinsam genutzten Arbeitsstationen sowie Datei- und Anwendungsservern am grössten.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 vor 10.0.20348.5870)
• Hinweis: Der sekundäre Aggregator führt zusätzliche Produkte auf, darunter Windows Server 2025, die im CNA-Eintrag nicht erscheinen. Gegen MSRC prüfen.

Behoben in

• Behoben mit den Sicherheitsupdates von Microsoft im November 2026 (Patch Tuesday).
• Erste behobene Builds laut CNA-Eintrag: Windows 10 1607/Server 2016 10.0.14393.9688; 1809/Server 2019 10.0.17763.9487; 21H2 10.0.19044.7846; 22H2 10.0.19045.7846; 11 23H2 10.0.22631.7711; 24H2 10.0.26100.9974; 25H2 10.0.26200.9974; 26H1 10.0.28000.3501; 26H2 10.0.26300.9974; Server 2022 10.0.20348.5870.
• Der zugehörige KB-Artikel konnte nicht bestätigt werden. Im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers bekannt. Das Einspielen des Sicherheitsupdates ist die einzige unterstützte Massnahme.

Ausnutzung

• Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
• Der CNA stuft die Reife des Exploit-Codes als Unproven ein.
• Für diese CVE ist kein öffentlicher Proof of Concept bekannt.
• Berichte zu den Sicherheitsupdates vom November 2026 nennen eine andere CVE als ausgenutzt. Den Status dieser CVE im MSRC und im CISA-KEV-Katalog prüfen.

Unsere Empfehlung

• Die Behebung im Windows-Patch-Zyklus vom November 2026 einplanen und Mehrbenutzersysteme, Terminal-Server und Server priorisieren.
• Bis zur Behebung die lokale Anmeldung auf gemeinsam genutzten Hosts einschränken und lokale Konten auf das Nötige beschränken.
• Endpoint-Schutz aktiv halten und auf unerwartete Rechteausweitungen oder neue Prozesse mit SYSTEM-Rechten achten.
• Die betroffenen Builds mit dem Asset-Inventar abgleichen und die KB-Zuordnung im MSRC bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-94531 msrc.microsoft.com
• CVE Record: CVE-2026-94531 www.cve.org
• Strix AI: CVE-2026-94531 (secondary, not verified against MSRC) www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:12.