Legacy Update: Fehlerhafte Ursprungsprüfung im ActiveX-Steuerelement
Zusammenfassung
Legacy Update, ein Tool zur Installation von Updates auf älteren Windows-PCs, enthält eine fehlerhafte Ursprungsprüfung in der Methode IsPermitted des ActiveX-Steuerelements. Hosting-Seiten, deren Hostname nicht auf der Liste der erlaubten Hosts steht, werden fälschlicherweise akzeptiert. Ein Angreifer, der einen Benutzer auf eine manipulierte Webseite im Internet Explorer lockt, kann Update- und Systeminformationen auflisten, Updates ohne Zustimmung installieren, Dialoge anzeigen oder den Computer neu starten, wenn ein Neustart aussteht. Der CVSS-Score beträgt 9.9 (kritisch).
Betroffen
- Legacy Update 1.12.0 bis 1.13.1
Behoben in
- Legacy Update 1.13.2 (veröffentlicht am 21. Juli 2026)
Umgehung
- Den Internet Explorer nicht mehr verwenden.
- Unerwartete UAC-Abfragen ablehnen.
- Den Internet Explorer im geschützten Modus betreiben und nicht als Administrator ausführen.
- Der Hersteller gibt an, dass ein Upgrade die einzige vollständige Behebung ist.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Katalog ist direkt zu prüfen.
Unsere Empfehlung
- Legacy Update so rasch wie möglich auf 1.13.2 oder neuer aktualisieren; die aktuelle Version des Herstellers ist 1.14.1.
- Ältere Windows-PCs mit Legacy Update oder Internet Explorer identifizieren und deren Exposition prüfen.
- Solche Systeme vom allgemeinen Netzwerk isolieren und, wo möglich, Webzugriffe von ihnen blockieren.
- Auf unerwartete Update-Installationen oder Neustarts achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f4g7-4gmx-jfgf github.com
- Legacy Update 1.13.2 news post legacyupdate.net
- Legacy Update v1.13.2.0 release github.com
- Fix commit 7d62f0b github.com
- Legacy Update release history legacyupdate.net
- OSV entry CVE-2026-97381 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:22.
Referenzen der NVD (5)
- https://github.com/LegacyUpdate/LegacyUpdate/commit/7d62f0bfaa770d74cd6e2cb0bac9c1907df48033
- https://github.com/LegacyUpdate/LegacyUpdate/commit/ae1c46c97f39a55a1937784d9f9beb30aa9147fd
- https://github.com/LegacyUpdate/LegacyUpdate/releases/tag/v1.13.2.0
- https://github.com/LegacyUpdate/LegacyUpdate/security/advisories/GHSA-f4g7-4gmx-jfgf
- https://legacyupdate.net/news/2026/07/21/legacy-update-1-13-2
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.