Microsoft Windows DNS: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read in der Rolle Windows DNS Server erlaubt einem berechtigten Angreifer, über das Netzwerk sensitive Informationen auszulesen. Laut CVE-Eintrag betrifft die Auswirkung nur die Vertraulichkeit, ohne Auswirkung auf Integrität oder Verfügbarkeit. Der Angreifer benötigt hohe Berechtigungen (PR:H) und keine Benutzerinteraktion, weshalb ein bestehender privilegierter Zugang, etwa durch einen Insider oder ein kompromittiertes Konto, das realistische Szenario ist.

Betroffen

• Windows Server 2016 und Server-Core-Installation: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 bis vor 10.0.26100.33822 (unbestätigt, nur aus Aggregatoren und einer verwandten CVE)
• Windows 10/11 und ältere Versionen: Unbekannt.

Behoben in

• Das kumulative Sicherheitsupdate vom November 2026 für jeden betroffenen Build installieren.
• Korrigierte Builds: 10.0.14393.9688 (Server 2016), 10.0.17763.9487 (Server 2019), 10.0.20348.5870 (Server 2022), 10.0.26100.33822 (Server 2025, von MSRC noch zu bestätigen).
• KB-Nummer: Unbekannt.

Umgehung

• Keine vom Hersteller bestätigte Workaround bekannt.
• Vorsorglich: DNS-Paket-Debug-Logging auf Produktivservern deaktiviert lassen, bis MSRC bestätigt, ob es eine Voraussetzung ist.
• Einschränken, welche Hosts die DNS-Verwaltungs- und Abfrageschnittstellen erreichen können.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Nicht bekannt.
• Öffentlicher Proof of Concept: keiner gefunden. Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
• Eintrag im CISA-KEV-Katalog: Unbekannt.
• CISA SSVC: Exploitation none, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Alle betroffenen Windows-Server-DNS-Server mit dem Sicherheitsupdate vom November 2026 patchen, zuerst Internet-exponierte und Mehrfachrollen-DNS-Server inklusive Domain Controller.
• Die korrigierten Build-Nummern vor dem Rollout auf der MSRC-Seite prüfen.
• Administrativen Zugriff auf DNS-Server einschränken und privilegierte Konten überprüfen.
• DNS-Debug-Logging nur bei Bedarf aktivieren und DNS-Server auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96984 www.cve.org
• MSRC Security Update Guide CVE-2026-96984 msrc.microsoft.com
• Rapid7 November 2026 Patch Tuesday analysis www.rapid7.com
• OffSeq threat radar CVE-2026-96984 radar.offseq.com
• Strix CVE-2026-96984 (aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:18.