Microsoft Windows DirectMusic: Lokale Codeausführung durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Microsoft-DirectMusic-Komponente von Windows erlaubt einem berechtigten lokalen Angreifer, Code auszuführen. Der Angreifer benötigt eine Anmeldung mit niedrigen Rechten auf dem betroffenen System, eine Benutzerinteraktion ist nicht erforderlich. Der CNA-Eintrag stuft das Problem als hoch ein (CVSS 3.1 7.8), und die CISA-SSVC-Bewertung nennt keine Ausnutzung und keinen automatisierbaren Angriffsweg.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846 (unverifiziert, aus einem Drittanbieter-Spiegel)
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711 (unverifiziert, aus einem Drittanbieter-Spiegel)
• Windows 11 Version 24H2, 25H2, 26H1, 26H2 und Windows Server 2022: genaue Builds siehe MSRC-Update-Guide

Behoben in

• Die kumulativen Updates von November 2026 von Microsoft für die betroffenen Windows-Versionen installieren.
• Genaue korrigierte Builds für Windows 10 22H2, Windows 11 und Windows Server sind im MSRC-Update-Guide zu verifizieren.

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• Soweit geprüft, nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Die kumulativen Updates von November 2026 auf allen betroffenen Windows-Systemen installieren, mit Priorität auf Mehrbenutzersystemen und Terminalservern.
• Prüfen, ob Windows-10-Systeme für Extended Security Updates registriert sind, da nicht gepatchte Systeme diese Korrektur nicht erhalten.
• Lokale Anmeldung auf vertrauenswürdige Benutzer beschränken und Endpoint-Schutz aktiv halten.
• Die genauen korrigierten Builds im MSRC-Update-Guide verifizieren.
• Nicht mit CVE-2026-69491 verwechseln, einem separaten DirectMusic-Fehler, der aus der Ferne ausnutzbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CNA record www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Third-party mirror with build ranges www.strix.ai
• Related DirectMusic CVE-2026-69491 (different bug) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:05.