Microsoft Windows LUAFV: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Der Windows LUA File Virtualization Filter Driver (LUAFV) enthält einen Heap-basierten Pufferüberlauf (CWE-122), wie von Microsoft als CNA veröffentlicht. Ein Angreifer mit einem bestehenden Konto mit niedrigen Rechten auf dem Gerät, zum Beispiel nach einem Phishing-Angriff oder der Ausführung von Schadsoftware, kann die Lücke zur Rechteerweiterung ausnutzen. Eine erfolgreiche Ausnutzung würde die vollständige Kontrolle über den Host ermöglichen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff ist nur lokal möglich und erfordert keine Benutzerinteraktion, weshalb es sich um einen Eskalationsschritt und nicht um einen Einstiegspunkt aus dem Netzwerk handelt.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Die Liste stammt aus dem CNA-Eintrag und ist noch nicht auf MSRC bestätigt.

Behoben in

• Das Microsoft-Sicherheitsupdate vom November 2026 installieren, das die oben aufgeführten korrigierten Builds enthält. Das genaue Update auf dem MSRC-Advisory prüfen.

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Zum Zeitpunkt der Erstellung wurden keine Berichte über eine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept-Code gefunden.

Unsere Empfehlung

• Das MSRC-Advisory zu CVE-2026-96117 prüfen und die betroffenen Builds sowie das korrigierende Update bestätigen.
• Im regulären Patch-Zyklus vom November 2026 einspielen, zuerst Terminalserver, RDS-Hosts, gemeinsam genutzte Arbeitsstationen und Dateiserver.
• Sicherstellen, dass jedes Windows-10-Gerät weiterhin Sicherheitsupdates erhält oder für Extended Security Updates registriert ist.
• Bis zur Korrektur die lokalen Anmelderechte auf Mehrbenutzersystemen einschränken.
• Das Microsoft-Advisory und den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CNA record www.cve.org
• Microsoft Security Update Guide (requested, not verified) msrc.microsoft.com
• Strix CVE summary (third-party aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:34.