AD FS: Spoofing durch fehlerhafte Prüfung von SAML-Signaturen

Zusammenfassung

Active Directory Federation Services (AD FS) prüft in betroffenen Windows-Server- und Windows-10-Versionen die kryptografische Signatur von SAML-Antworten nicht korrekt. Ein nicht authentifizierter Angreifer im Netzwerk kann eine gültig signierte SAML-Antwort, die für einen anderen Endpunkt bestimmt war, gegen einen betroffenen AD-FS-Endpunkt wiederverwenden, was Spoofing ermöglicht. Microsoft stuft den Schweregrad als Important ein, während die NVD ihn mit 9.1 (Critical) bewertet. Microsoft meldete zum Zeitpunkt der Veröffentlichung keine Ausnutzung.

Betroffen

• Windows Server 2012 und 2012 R2 (inklusive Server Core): Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows Server 2016 und Windows 10 Version 1607: Builds vor 10.0.14393.9612
• Windows Server 2019 und Windows 10 Version 1809: Builds vor 10.0.17763.9376
• Windows Server 2022: Builds vor 10.0.20348.5761
• Windows Server 2025: Builds vor 10.0.26100.33650
• Relevant sind nur Systeme mit der Rolle AD FS. Die NVD listet in den CPE-Daten nur Windows 10 1607.

Behoben in

• Installieren Sie das Sicherheitsupdate vom Oktober 2026 für jede betroffene Version (veröffentlicht am 13. Oktober 2026).
• Die genauen KB-Nummern sind nicht bestätigt. Prüfen Sie diese vor der Verteilung im MSRC oder im Microsoft Update Catalog.
• Bekanntes Problem: KB5126651 (Server 2019) weist ein gemeldetes Exchange-/OWA-Problem auf. Prüfen Sie zuerst die Hinweise zu bekannten Problemen von Microsoft.

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden, und der Patch ist verfügbar.

• Übergangsmassnahmen (allgemeine bewährte Praxis, nicht aus einer Herstellerquelle): Netzwerkzugriff auf AD-FS-Endpunkte einschränken, Konfiguration der Relying Parties und SAML-Endpunkte prüfen und AD-FS-Protokolle auf unerwartete Token-Anfragen überwachen.

Ausnutzung

• Microsoft hat zum Zeitpunkt der Veröffentlichung keine Ausnutzung festgestellt (Sekundärquelle: Forkast).
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Nicht in der CISA-KEV-Liste aufgeführt.
• Kein öffentlicher Proof of Concept gefunden. Darüber hinaus unbekannt.

Unsere Empfehlung

• Falls Sie AD FS betreiben, patchen Sie alle AD-FS-Server und -Proxys im Updatezyklus vom Oktober 2026, nachdem Sie die KB-Nummer im MSRC bestätigt haben.
• Prüfen Sie vor dem Patchen das Exchange-/OWA-Problem, falls der Server auch Exchange hostet.
• Prüfen Sie, ob AD-FS-Endpunkte oder Proxys aus dem Internet erreichbar sind, und schränken Sie den Zugriff nach Möglichkeit ein.
• Überwachen Sie die AD-FS-Protokolle auf unerwartete Token-Anfragen und prüfen Sie die Konfiguration der Relying Parties.
• Behandeln Sie das Problem als kritisch, solange AD FS exponiert ist, auch wenn Microsoft es als Important einstuft.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96252 msrc.microsoft.com
• Rapid7 vulnerability database: CVE-2026-96252 www.rapid7.com
• OpenCVE: CVE-2026-96252 app.opencve.io
• Miggo vulnerability database: CVE-2026-96252 www.miggo.io
• VulDB: CVE-2026-96252 (CWE discrepancy) vuldb.com
• Strix: CVE-2026-96252 (third-party build ranges) www.strix.ai
• Forkast: AD FS spoofing CVEs (secondary source) forkast.news
• Senserva KB note on KB5126651 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:43.