Microsoft Windows Installer: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Windows Installer, die Windows-Komponente zum Installieren, Verwalten und Entfernen von MSI-Paketen, enthält einen Use-after-free-Fehler (CWE-416, CWE-822). Ein berechtigter lokaler Benutzer mit einem Konto mit geringen Rechten kann ihn ausnutzen, um höhere Rechte zu erlangen. Der Angriff ist von hoher Komplexität und erfordert lokalen Zugriff, daher ist er nicht direkt aus dem Internet ausführbar. Das Hauptrisiko besteht als zweiter Schritt, nachdem ein Angreifer bereits auf einem System Fuss gefasst hat.

Betroffen

• Windows 10 Version 1607: Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: Builds 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): Builds 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): Builds 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: Builds 10.0.14393.0 bis vor 10.0.14393.9612

Quelle: offizieller CVE-Eintrag (CNA: Microsoft). Noch nicht gegen das MSRC-Advisory verifiziert.

Behoben in

• Gemäss CVE-Eintrag sind die gefixten Builds die oben genannten Obergrenzen, enthalten im Windows-Update vom November 2026.
• KB-Nummer: Unbekannt.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden. Update installieren.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: kein Nachweis gefunden (nicht gegen den CISA-KEV-Katalog geprüft).
• Öffentlicher Proof of Concept: keiner gefunden.
• Rapid7 führt die CVE als nicht öffentlich bekannt, mit einer Ausnutzungsbewertung von Less Likely.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das kumulative Windows-Update vom November 2026 auf betroffenen Systemen installieren, mit Priorität auf Mehrbenutzersysteme, Terminalserver und RDP-Server.
• Lokale Administratorrechte auf das notwendige Personal beschränken.
• Betroffene Builds und KB-Nummer auf der MSRC-Seite bestätigen.
• Auf öffentliche Exploit-Berichte und Änderungen im CISA-KEV-Status achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96073 www.cve.org
• Microsoft Security Update Guide CVE-2026-96073 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Tenable Patch Tuesday November 2026 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:41.