Windows Server DNS Server: Denial of Service durch Out-of-Bounds-Read
Zusammenfassung
Die DNS-Serverrolle in Windows Server 2016, 2019, 2022 und 2025 enthält einen Out-of-Bounds-Read-Fehler (CWE-125). Ein nicht authentifizierter Angreifer im Netzwerk kann einen Denial-of-Service-Zustand des DNS-Dienstes auslösen. Die Angriffskomplexität ist hoch, und die Auswirkungen beschränken sich gemäss CVSS auf die Verfügbarkeit (CVSS 5.9, Mittel). Eine Ausnutzung ist nicht bekannt.
Betroffen
- Windows Server 2016 und Server-Core-Installation: 10.0.14393.0 bis vor 10.0.14393.9688
- Windows Server 2019 und Server-Core-Installation: 10.0.17763.0 bis vor 10.0.17763.9487
- Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
- Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 bis vor 10.0.26100.33822
Behoben in
- Windows Server 2016 (inkl. Server Core): 10.0.14393.9688 oder neuer
- Windows Server 2019 (inkl. Server Core): 10.0.17763.9487 oder neuer
- Windows Server 2022: 10.0.20348.5870 oder neuer
- Windows Server 2025 (inkl. Server Core): 10.0.26100.33822 oder neuer
Die Build-Nummern stammen aus dem CVE-Eintrag und sollten mit dem MSRC-Advisory abgeglichen werden.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
Ausnutzung
- Gemäss Kenntnisstand nicht in freier Wildbahn ausgenutzt.
- Rapid7 führt die Ausnutzbarkeitsbewertung von Microsoft als Exploitation Less Likely.
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, partielle technische Auswirkungen.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- DNS-Server, insbesondere Windows Server 2016 und 2019, im nächsten Wartungsfenster patchen.
- Internetseitig oder breit erreichbare DNS-Server priorisieren.
- Prüfen, ob DNS öffentlich erreichbar ist, und den Zugriff einschränken, falls nicht benötigt.
- Bis zum Patch Rekursion und Abfragezugriff auf benötigte Clients beschränken.
- Verfügbarkeit des DNS-Dienstes auf Abstürze oder Neustarts überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Dienstverweigerung (DoS) – Role: DNS Server
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131090, KB5131080, KB5131077
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory CVE-2026-96975 msrc.microsoft.com
- CVE Record CVE-2026-96975 www.cve.org
- Strix CVE-2026-96975 www.strix.ai
- OffSeq Radar CVE-2026-96975 radar.offseq.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- GBHackers Microsoft November 2026 Patch Tuesday gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.