Windows Biometric Service: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Der Windows Biometric Service in mehreren Versionen von Windows 10, Windows 11 und Windows Server enthält einen heap-basierten Pufferüberlauf (CWE-122). Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann diese Schwachstelle ausnutzen, um seine Rechte auf dem betroffenen System zu erweitern. Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch vorgängig lokalen Zugriff, beispielsweise über ein durch Phishing erlangtes oder gestohlenes Konto mit niedrigen Rechten. Der CVSS-Basiswert beträgt 7.8 (Hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9512)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9245)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7725)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7725)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7582)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9445)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9445)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.2954)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9512)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9245)
• Windows Server 2022 (Builds vor 10.0.20348.5622)
• Windows Server 2025 (Builds vor 10.0.26100.33438)

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft, das die oben aufgeführten Builds auf die korrigierten Versionen bringt. Die KB-Nummern sind unbekannt und müssen dem MSRC Security Update Guide entnommen werden.
• Hinweis: Der korrigierte Build für Windows 11 24H2 (10.0.26100.9445) unterscheidet sich von demjenigen für Windows Server 2025 (10.0.26100.33438). Beide auf MSRC überprüfen.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround des Herstellers gefunden. Das Einspielen des Patches ist die Behebung.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Öffentlich verfügbarer Proof-of-Concept-Code: unbekannt.

Unsere Empfehlung

• Erfassen Sie die Windows-Hosts und dokumentieren Sie deren Build-Nummern.
• Patchen Sie die betroffenen Systeme mit dem kumulativen Update vom November 2026, nachdem Sie die KB-Nummer und den korrigierten Build im MSRC-Advisory bestätigt haben. Priorisieren Sie Windows 10 1607/1809/21H2 sowie Windows Server 2016/2019, da dies die ältesten Builds sind.
• Beschränken Sie die lokale Anmeldung auf Servern und gemeinsam genutzten Arbeitsstationen und begrenzen Sie die Anzahl der Konten mit niedrigen Rechten.
• Prüfen Sie den NVD-Eintrag und den CISA-KEV-Katalog auf Änderungen, da der NVD-Eintrag zum Zeitpunkt der Veröffentlichung noch in der Analyse war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft CNA record (CVE.org) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• strix.ai aggregator entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:11.