kagancapar/cve-2026-54984CVE-2026-54984 / ZDI-26-543: Schreiben außerhalb der Grenzen beim Parsen von Windows-ICC-Dateien (CWE-122, CVSS 7.8)
Out-of-Bounds-Schreibzugriff beim Parsen von ICC-Dateien in Windows — Remotecodeausführung Über die Zero Day Initiative als ZDI-CAN-30441 gemeldet, als ZDI-26-543 veröffentlicht und von Microsoft im Update-Zyklus August 2026 behoben.
Hallo, ich bin Kağan Çapar. Ich habe diese Schwachstelle an die Zero Day Initiative gemeldet, die sie am 2. Juni 2026 an Microsoft weitergegeben hat. Sie wurde am 11. August 2026 – dem August-Patch-Dienstag – behoben und veröffentlicht, und ich werde im ZDI-Advisory genannt.
Was dieses Repository ist. Ein öffentlicher Nachweis der Offenlegung: Kennungen, Bewertung, betroffene Builds, Patch-KBs und Zeitplan, zusammengestellt aus den Advisories des Herstellers und von ZDI. Es enthält keinen Proof of Concept und keine technische Analyse. Die Erwerbsbedingungen von ZDI gewähren Exklusivität in Bezug auf die technischen Details, und die koordinierte Offenlegung deckt nur das ab, was die beiden Advisories angeben. Bitte eröffnen Sie keine Issues, die nach einem PoC fragen – es wird keinen geben.
| CVE | CVE-2026-54984 |
| ZDI | ZDI-26-543 (ZDI-CAN-30441) |
| Hersteller-Advisory | MSRC CVE-2026-54984 |
| CWE | CWE-122 — Heap-basierter Pufferüberlauf |
| CVSS v3.1 Basis | 7.8 HIGH — AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| CVSS v3.1 Temporal | 6.8 — E:U/RL:O/RC:C |
| Schweregrad / Auswirkung | Wichtig / Remotecodeausführung |
| Hersteller | Microsoft |
| CNA | Microsoft |
| An den Hersteller gemeldet | 2026-06-02 |
| Öffentliche Offenlegung | 2026-08-11 |
| Vor dem Patch öffentlich offengelegt | Nein |
| In freier Wildbahn ausgenutzt | Nein |
| Ausnutzbarkeitsbewertung | Ausnutzung unwahrscheinlich (Microsoft) |
| Anerkennung | Kağan Çapar |
ZDI-26-543 — Sicherheitslücke in Microsoft Windows beim Parsen von ICC-Dateien: Out-of-Bounds-Schreibzugriff mit Remotecodeausführung
ZDI führt den Fehler auf eine unzureichende Validierung benutzerbereitgestellter Daten beim Parsen von ICC-Farbprofilen in Mscms.dll zurück, was einen Schreibzugriff über das Ende eines zugewiesenen Puffers hinaus ermöglicht. Das Advisory gibt an, dass eine Benutzerinteraktion erforderlich ist und dass ein Angreifer das Problem ausnutzen kann, um beliebigen Code im Kontext des aktuellen Prozesses auszuführen.
Microsoft — Sicherheitslücke in der Windows Imaging Component bezüglich Remotecodeausführung:
Ein heap-basierter Pufferüberlauf in der Windows Imaging Component ermöglicht es einem nicht autorisierten Angreifer, Code lokal auszuführen.
Erwähnenswert für alle, die die beiden Einträge abgleichen: ZDI nennt Mscms.dll (die Windows-Farbverwaltungsbibliothek, die ICC-Profile parst), während Microsoft die CVE unter dem Tag Windows Imaging Component führt. Beide Beschreibungen beziehen sich auf dieselbe CVE.
Der Unterschied ist eher eine Frage des Blickwinkels als ein Widerspruch. Microsofts Update-Guide kategorisiert nach der Produktoberfläche, die ausgeliefert und gepatcht wird; ZDI benennt die Bibliothek, die seine Analyse abdeckte. Die Windows Imaging Component ist die Bildverarbeitungspipeline, die Bilddateien dekodiert, und Bilder enthalten üblicherweise eingebettete ICC-Farbprofile, die an die Farbverwaltung übergeben werden – daher beschreiben „ICC-Dateiparsing" und „Windows Imaging Component" zwei Enden desselben Pfads.
Wenn Sie diese CVE mit einem internen Inventar abgleichen, suchen Sie nach beiden Namen.
Aus dem CVSS-Vektor AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H abgelesen:
| Metrik | Wert | Bedeutung |
|---|---|---|
| Angriffsvektor | Lokal | Nicht von sich aus remote über das Netzwerk erreichbar |
| Angriffskomplexität | Niedrig | Keine besonderen Bedingungen |
| Erforderliche Privilegien | Keine | Kein Konto auf dem Ziel erforderlich |
| Benutzerinteraktion | Erforderlich | Das Ziel muss vom Angreifer bereitgestellte Inhalte öffnen oder verarbeiten |
| Scope | Unverändert | Die Auswirkung bleibt im Autorisierungsumfang der anfälligen Komponente |
| Vertraulichkeit / Integrität / Verfügbarkeit | Hoch / Hoch / Hoch | Codeausführung im Kontext des aktuellen Prozesses |
Die Kombination AV:L + UI:R ist die klassische Form des Dateiparsings: Die Datei gelangt auf beliebigem Weg an das Ziel (Download, Freigabe, E-Mail-Anhang, in ein Dokument eingebettet), und die Schwachstelle wird ausgelöst, wenn die Datei lokal verarbeitet wird. „Lokal" beschreibt hier, wo das Parsing stattfindet, nicht dass der Angreifer bereits über Zugriff verfügen muss.
Der temporale Vektor E:U/RL:O/RC:C bedeutet: Exploit-Code nicht nachgewiesen, ein offizieller Fix ist verfügbar, und der Bericht ist bestätigt.
Microsoft listet 30 betroffene Produkteinträge auf; die Analyse von NVD (vulnStatus: Analyzed) führt sie auf 24 CPE-Treffer mit der reparierten Build-Nummer für jeden Zweig zurück. Kombiniert man beides: Sie sind betroffen, wenn Ihr Build unter der Zahl in der Spalte Behoben bei Build liegt:
| Zweig | Behoben bei Build | Architekturen | KB |
|---|---|---|---|
| Windows 11 26H1 | 10.0.28000.2704 | x64, ARM64 | KB5121000 |
| Windows 11 25H2 | 10.0.26200.9106 | x64, ARM64 | KB5121003 |
| Windows 11 24H2 | 10.0.26100.9106 | x64, ARM64 | KB5121003 |
| Windows 11 23H2 | 10.0.22631.7517 | x64, ARM64 | KB5120240 |
| Windows 10 22H2 | 10.0.19045.7663 | x86, x64, ARM64 | KB5120249 |
| Windows 10 21H2 | 10.0.19044.7663 | x86, x64, ARM64 | KB5120249 |
| Windows 10 1809 | 10.0.17763.9115 | x86, x64 | KB5120238 |
| Windows 10 1607 | 10.0.14393.9418 | x86, x64 | KB5120418 |
| Windows Server 2025 | 10.0.26100.33222 | x64 | KB5120233 |
| Windows Server 2022 | 10.0.20348.5440 | — | KB5120242 |
| Windows Server 2019 | 10.0.17763.9115 | — | KB5120238 |
| Windows Server 2016 | 10.0.14393.9418 | — |
Server-Core-Installationen jeder Server-SKU sind betroffen und erhalten dieselbe KB.
winver
oder, für den vollständigen Build mit UBR:
[System.Environment]::OSVersion.Version; (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR
Vergleichen Sie mit der Tabelle. Die Build-Nummern stammen aus den CPE-Daten von NVD; wo die beiden voneinander abweichen, ist die installierte KB die maßgebliche Prüfung. Insbesondere Server 2025 weist im NVD-Datensatz eine ungewöhnlich hohe UBR auf. Verifizieren Sie diese SKU daher anhand der KB und nicht anhand der Build-Nummer.
Der von Microsoft für dieses Update angegebene betroffene Bereich reicht von Windows Server 2012 bis Windows 11 26H1. Server 2012 und 2012 R2 haben das Ende des erweiterten Supports überschritten und erhalten diesen Fix über die Extended Security Updates.
Gegenmaßnahme: Installieren Sie das Update für Ihren Zweig. Das Hersteller-Advisory dokumentiert weder eine Problemumgehung noch eine konfigurationsbasierte Gegenmaßnahme.
| Datum | Ereignis |
|---|---|
| 2026-06-02 | An Microsoft über ZDI gemeldet (ZDI-CAN-30441) |
| 2026-08-11 | Microsoft veröffentlicht den Fix — Update-Zyklus August 2026 |
| 2026-08-11 | ZDI-26-543 veröffentlicht; NVD-Datensatz veröffentlicht |
| 2026-08-12 | NVD-Analyse abgeschlossen (Analyzed), Datensatz zuletzt geändert |
70 Tage von der Benachrichtigung des Herstellers bis zur koordinierten öffentlichen Offenlegung, deutlich innerhalb des 120-Tage-Fensters von ZDI. Keine öffentliche Offenlegung vor dem Patch und keine beobachtete Ausnutzung.
Kağan Çapar — GitHub · Exploit-DB · LinkedIn · X
Genannt in ZDI-26-543 und von Microsoft für CVE-2026-54984 anerkannt.
Türkçe: tr/CVE-2026-54984-TR.md
| Windows Server 2012 R2 | (kein Build-Bereich veröffentlicht) | — | KB5120385 |
| Windows Server 2012 | (kein Build-Bereich veröffentlicht) | — | KB5120386 |