Microsoft Windows Installer: Stack-based Buffer Overflow ermöglicht Rechteerweiterung

Zusammenfassung

Ein Stack-based Buffer Overflow in Windows Installer erlaubt einem lokalen Benutzer mit niedrigen Rechten, seine Privilegien zu erweitern, potenziell bis auf SYSTEM-Ebene. Der Angriff setzt voraus, dass der Angreifer bereits lokalen Zugriff hat, etwa über ein kompromittiertes Benutzerkonto oder einen böswilligen Insider. Die Schwachstelle wird mit 7.8 (High) nach CVSS 3.1 bewertet, und zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: 10.0.19044.0 bis vor 10.0.19044.7846 sowie 10.0.19045.0 bis vor 10.0.19045.7846 (im Auszug des CVE-Eintrags aufgeführt; nicht durch die MSRC-Seite bestätigt)
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Hinweis: Die Quellen stimmen bei einzelnen Build-Nummern nicht überein, daher gegen das MSRC-Advisory prüfen.

Behoben in

• Behobene Builds: Die obere Grenze jedes betroffenen Bereichs ist laut CVE-Eintrag der erste behobene Build. Genaue behobene Builds und KB-Nummern: Unbekannt (siehe MSRC-Advisory).
• Ob CVE-2026-96152 im Release vom November 2026 enthalten ist: Unbekannt.

Umgehung

• Keine bekannte Workaround-Massnahme von Microsoft. Das Einspielen des Patches ist die einzige bestätigte Abhilfe.
• Übergangsmassnahmen (eigene Empfehlungen, nicht aus einer Quelle): lokale Anmeldung auf Mehrbenutzersystemen wie Terminalservern und RDS einschränken; Standardbenutzer am Installieren von MSI-Paketen hindern; sicherstellen, dass die Richtlinie 'Immer mit erhöhten Rechten installieren' deaktiviert ist.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Der temporäre CVSS-Vektor enthält E:U (Reifegrad des Exploit-Codes: Unproven).
• Das Fehlen von Ergebnissen ist kein bestätigter Negativbefund.

Unsere Empfehlung

• Das Microsoft-Update für die betroffenen Windows-Versionen einspielen, zuerst auf Mehrbenutzerservern und RDS-/Terminalservern, danach auf Arbeitsstationen mit lokalen Benutzern.
• Im MSRC-Advisory die genauen behobenen Builds und KB-Nummern prüfen und bestätigen, dass das Update im Release vom November 2026 enthalten ist.
• Lokale Anmeldung auf Mehrbenutzersystemen einschränken und Standardbenutzern das Installieren von MSI-Paketen verwehren.
• Prüfen, dass 'Immer mit erhöhten Rechten installieren' deaktiviert ist.
• Betroffene Systeme auf unerwartete Rechteerweiterungen oder neue SYSTEM-Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96152 msrc.microsoft.com
• CVE Record: CVE-2026-96152 (CVE.org) www.cve.org
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Strix: CVE-2026-96152 (third-party, unconfirmed details) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:31.