Windows Server DNS: Informationsoffenlegung durch Out-of-Bounds Read

Zusammenfassung

Eine DNS-Serverkomponente in Windows Server 2016, 2019, 2022 und 2025 enthält einen Out-of-Bounds Read (CWE-125). Ein Angreifer mit hohen Privilegien im Netzwerk kann Speicher jenseits des vorgesehenen Puffers auslesen und so Informationen offenlegen. Betroffen ist die Vertraulichkeit, Integrität und Verfügbarkeit nicht (CVSS 4.9, Mittel). Da hohe Privilegien erforderlich sind, besteht das praktische Risiko vor allem für aus dem Internet erreichbare DNS-Server oder DNS-Server in weniger vertrauenswürdigen Netzwerksegmenten.

Betroffen

• Windows Server 2016 (inklusive Server Core) vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core) vor 10.0.17763.9487
• Windows Server 2022 vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core) vor 10.0.26100.33822 (laut Drittanbieter-Aggregator; auf MSRC prüfen)
• Windows-Client-Editionen: Unbekannt.

Behoben in

• Das kumulative Update vom November 2026 für Ihre Windows-Server-Version installieren (Fix-Builds siehe oben).
• KB-Artikelnummern: Unbekannt.

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden. Unbekannt, ob einer existiert.
• Übergangsweise Härtung: Zugriff auf DNS-Server auf vertrauenswürdige interne Netzwerke beschränken und Windows-DNS-Server nicht ins Internet exponieren.

Ausnutzung

• Rapid7 stuft die Ausnutzung als "Exploitation Less Likely" ein und führt die Schwachstelle als nicht öffentlich bekannt.
• OffSeq meldet laut Stand 10. November 2026 keine bekannte Ausnutzung (sekundäre, maschinell erstellte Quelle).
• CISA SSVC: Ausnutzung keine, automatisierbar nein.
• Bisher kein Eintrag im CISA-KEV-Katalog, kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden. Die CVE ist erst einen Tag alt; erneut prüfen.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf Windows-Server-DNS-Servern im üblichen monatlichen Zyklus installieren.
• Patches für DNS-Server beschleunigen, die aus dem Internet erreichbar sind oder auf Domänencontrollern in weniger vertrauenswürdigen Netzwerksegmenten laufen.
• Zugriff auf DNS-Server auf vertrauenswürdige interne Netzwerke beschränken und Konten mit hohen Privilegien einschränken.
• DNS-Verkehr auf fehlerhafte Pakete überwachen.
• Fix-Builds und KB-Nummern vor dem Rollout auf MSRC prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Security Update Guide - CVE-2026-96985 (MSRC) msrc.microsoft.com
• CVE Record CVE-2026-96985 www.cve.org
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• OffSeq Radar CVE-2026-96985 radar.offseq.com
• vuldb CVE-2026-96985 vuldb.com
• Strix.ai CVE-2026-96985 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:18.