Microsoft DirectMusic: Remote Code Execution durch Double Free

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) in der Komponente Microsoft DirectMusic von Windows erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVE-Eintrag nennt einen CVSS-3.1-Basiswert von 9.8, doch NVD hatte die CVE bei der Erstellung dieses Eintrags noch nicht analysiert, daher sind Wert und CWE nicht verifiziert. Gemäss dem angegebenen Vektor sind weder Berechtigungen noch Benutzerinteraktion nötig, weshalb netzwerkseitig erreichbare, betroffene Windows-Systeme einem hohen Risiko ausgesetzt sind.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): 10.0.14393.0 bis unter 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): 10.0.17763.0 bis unter 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis unter 10.0.20348.5870

Behoben in

• Die Bereiche im CVE-Eintrag implizieren korrigierte Builds ab den oben unter Betroffen genannten Obergrenzen (gemäss offiziellem CVE-Eintrag).
• KB-Nummern: Unbekannt.
• Die korrigierten Builds vor dem Rollout im MSRC-Eintrag bestätigen.

Umgehung

Unbekannt.

• In den vorliegenden Quellen ist keine Workaround-Massnahme des Herstellers dokumentiert.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Erstellung wurden keine Berichte über Ausnutzung in freier Wildbahn, kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Eine frühere DirectMusic-Double-Free-Schwachstelle (CVE-2022-44668) wurde zuvor öffentlich beschrieben, was zeigt, dass diese Fehlerklasse schon ausnutzbar war.

Unsere Empfehlung

• Den MSRC-Eintrag öffnen und die betroffenen Builds, KB-Nummern sowie den von Microsoft genannten Angriffsvektor erfassen.
• Betroffene Windows-Clients und -Server nach Verfügbarkeit des Updates prioritär patchen, zuerst die aus dem Internet erreichbaren Server.
• Windows-Systeme inventarisieren und prüfen, welche davon DirectMusic-auslösende Inhalte von aussen empfangen können.
• NVD- und CISA-KEV-Einträge auf Änderungen bei Score, CWE oder Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95901 msrc.microsoft.com
• StarLabs advisory on related DirectMusic double free (CVE-2022-44668) starlabs.sg

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:33.