Microsoft Windows NetBIOS: Use-after-free führt zu lokaler Rechteausweitung

Zusammenfassung

Ein Use-after-free-Fehler in der Windows-NetBIOS-Komponente erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der CVSS-Basiswert beträgt 7.0 (hoch). Für die Ausnutzung benötigt ein Angreifer bereits ein Benutzerkonto mit niedrigen Rechten auf dem Host, und die Angriffskomplexität ist hoch. Es handelt sich daher um ein Risiko nach einer erfolgreichen Kompromittierung und nicht um einen Einstiegspunkt aus dem Internet.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025: nicht im CVE-Eintrag aufgeführt; auf MSRC prüfen

Behoben in

• Das Sicherheitsupdate vom November 2026 für jedes betroffene Produkt installieren; es stellt Builds auf oder über den oben genannten Versionen bereit.
• Windows 10 22H2 Build 10.0.19045.7846 und Windows Server 2022 Build 10.0.20348.5870 sind im CVE-Eintrag als korrigierte Builds aufgeführt.
• Die korrigierten Builds für jedes Produkt vor dem Rollout im MSRC Security Update Guide überprüfen.

Umgehung

Unbekannt. In den geprüften Quellen wurde keine vom Hersteller dokumentierte Gegenmassnahme gefunden. Das Patch ist die empfohlene Massnahme.

• Wo NetBIOS nicht benötigt wird, NetBIOS über TCP/IP auf den Netzwerkadaptern deaktivieren (allgemeine Härtung, nicht aus der Advisory; vor dem Einsatz auf MSRC prüfen).
• Die Ports 137 bis 139 am Perimeter und zwischen Netzwerksegmenten blockieren.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: nicht bekannt (Drittanbieter-Aggregator OffSeq; CISA KEV nicht geprüft).
• Microsoft-Bewertung der Ausnutzbarkeit im CVE-Eintrag: E:U (nicht nachgewiesen) und RC:C (bestätigt).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Öffentlicher Proof of Concept: in den geprüften Quellen keiner gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 installieren und dabei Mehrbenutzersysteme wie Terminal-Server, Dateiserver und Endgeräte mit schwacher Credential-Hygiene priorisieren.
• Die Nutzung von NetBIOS und die betroffenen Builds inventarisieren, einschliesslich ESU-, LTSB- und LTSC-Hosts.
• NetBIOS über TCP/IP deaktivieren, wo es nicht benötigt wird, und die Ports 137 bis 139 zwischen Segmenten blockieren.
• Auf MSRC prüfen, ob CVE-2026-112798, das denselben Titel und dieselbe Beschreibung trägt, ein Duplikat dieses CVE ist.
• Auf Berichte über Ausnutzung achten und den NVD-Score erneut prüfen, der zum Zeitpunkt der Recherche noch in Analyse war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96971 msrc.microsoft.com
• CVE Record CVE-2026-96971 (CVE.org) www.cve.org
• OffSeq Radar: CVE-2026-96971 radar.offseq.com
• Strix: CVE-2026-96971 www.strix.ai
• MSRC: CVE-2026-112798 (possible duplicate) msrc.microsoft.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:32.