mrk336/inside-cve-2026-20805-how-a-windows-dwm-flaw-exposed-sensitive-data
CVE‑2026‑20805: Ein Fehler im Windows Desktop Window Manager, der eine lokale Offenlegung von Informationen verursacht. Erfordert geringe Privilegien, keine Benutzerinteraktion. Bewertet mit CVSS 5,5 (Mittel). Aktiv ausgenutzt und in der CISA KEV gelistet; Patch im Januar 2026 veröffentlicht.
CVE‑2026‑20805: Eine Schwachstelle im Windows Desktop Window Manager, die zur lokalen Offenlegung von Informationen führt. Erfordert geringe Privilegien, keine Benutzerinteraktion. Bewertet mit CVSS 5.5 (Mittel). Aktiv ausgenutzt und im CISA KEV gelistet; Patch im Januar 2026 veröffentlicht.
CVE 2026 20805 ist eine Schwachstelle zur Offenlegung von Informationen im Desktop Window Manager (DWM) – der Kernkomponente, die den Desktop rendert, Fenster zusammensetzt und GPU-basierte Benutzeroberflächen beschleunigt.
Warum es wichtig ist: Die Schwachstelle ermöglicht es einem lokalen Angreifer mit geringen Privilegien, Daten zu lesen, die auf andere Sitzungen oder Prozesse beschränkt sein sollten.
| Attribut | Wert |
|---|
| CWE‑200: Offenlegung sensibler Informationen an einen nicht autorisierten Akteur | ✓ |
| Angriffsvektor | Lokal |
| Erforderliche Privilegien | Gering |
| Benutzerinteraktion | Keine |
| Auswirkung – Vertraulichkeit | Hoch |
| Auswirkung – Integrität | Keine |
| Auswirkung – Verfügbarkeit | Keine |
| CVSS 3.1 Basis-Score | 5.5 (Mittel) |
DWM orchestriert GPU-Speicher, Fensterpuffer und prozessübergreifende UI-Oberflächen. Er ist ein hochwertiges Angriffsziel, da er Daten aus mehreren Prozessen in gemeinsam genutztem GPU-Speicher aggregiert; eine Schwachstelle hier kann Anmeldeinformationen oder Sitzungsdaten über Benutzer hinweg leaken.
Rolle des DWM in modernen Windows-Systemen:
Die Schwachstelle nutzt fehlende Grenzprüfungen beim Fensterpufferindex aus; dies ermöglicht einem Angreifer, angrenzenden GPU-Speicher zu lesen und Geheimnisse zu erlangen, die von anderen Prozessen gespeichert wurden.
Basierend auf der CPE-Liste des NVD sind Windows 10.0.19041 (und Derivate) betroffen.
Nachfolgend ein konzeptioneller Ausnutzungsablauf:
CreateProcess mit minimalen Privilegien ein Handle auf den DWM-Prozess.# Windows 10.0.19041 – DWM buffer read exploit
$processHandle = Get-Process -Name dwm | Select-Object -ExpandProperty Id
$bufferOffset = 0x00120000 # crafted offset to adjacent GPU memory
$targetWindow = 0x00030001 # target window index
# Create a temporary buffer in kernel space
$kernelBuffer = [byte[]]::new(0x1000)
[System.Runtime.InteropServices.Marshal]:https://raw.githubusercontent.com/mrk336/inside-cve-2026-20805-how-a-windows-dwm-flaw-exposed-sensitive-data/HEAD/:CopyMemory(
$processHandle,
$bufferOffset,
$kernelBuffer,
0x1000)
# Copy kernel buffer into DWM's composition routine
Invoke-DwmRead -ProcessId $processHandle `
-WindowIndex $targetWindow `
-SrcAddress $bufferOffset `
-Size 0x1000
# Dump the exposed data to a local file for analysis
$dumpPath = "C:\Temp\DwmLeak.txt"
[IO.File]::WriteAllBytes($dumpPath, $kernelBuffer)
Das Skript zeigt, wie ein Angreifer den GPU-Speicher des DWM nutzen kann, um versteckte Daten zu lesen.
Die Erkennung für CVE‑2026‑20805 konzentriert sich auf die Identifizierung abnormaler Interaktionen mit dwm.exe und ungewöhnlicher GPU-bezogener Telemetrie. Der Exploit basiert auf dem Lesen GPU-gestützter Speicherpuffer mithilfe manipulierter Offsets. Verteidiger sollten daher auf Abweichungen vom normalen Desktop Window Manager-Verhalten achten.
0x2B (DisplayUpdate)Diese Quellen bieten Einblick in Prozesserstellung, Handle-Zugriff und GPU-Aktualisierungsaktivitäten.
CreateProcess-Ereignisse mit dwm.exe, insbesondere wenn der übergeordnete Prozess nicht explorer.exe ist.DisplayUpdate-Ereignisse (0x2B), gefolgt von Speicherlesevorgängen mit ungewöhnlichen Puffergrößen oder Offsets.
SrcAddress: 0x00120000Size: 0x1000HandleOpen-Ereignissen, die auf dwm.exe abzielen, und Bursts von GPU-ETW-Aktivitäten.title: DWM GPU Memory Read Anomaly
id: dwm-gpu-memory-read-anomaly
status: experimental
description: Detects abnormal DWM buffer reads that may indicate exploitation of CVE-2026-20805.
author: Mark
logsource:
product: windows
service: system
detection:
selection:
EventID: 0x2B
ProcessName: dwm.exe
SrcAddress: 0x00120000
Size: 0x1000
condition: selection
falsepositives:
- High GPU rendering workloads
level: medium
tags:
- attack.defense-evasion
SecurityEvent
| where EventID in (4656, 4663)
| where ProcessName !~ "dwm.exe"
| where ObjectName has "dwm.exe"
| summarize count() by Account, ProcessName, ObjectName, Computer, bin(TimeGenerated, 5m)
| where count_ > 5
Sysmon
| where EventID == 1
| where Image endswith "dwm.exe"
| where ParentImage !endswith "explorer.exe"
Event
| where EventID == 0x2B
| summarize count() by Computer, bin(TimeGenerated, 1m)
| where count_ > 50
let handles = SecurityEvent
| where EventID == 4656 and ObjectName has "dwm.exe"
| project TimeGenerated, Account, Computer;
let gpu = Event
| where EventID == 0x2B
| project TimeGenerated, Computer;
handles
| join kind=inner gpu on Computer
| where gpu_TimeGenerated between (TimeGenerated .. TimeGenerated + 2m)
index=sysmon EventCode=10 TargetImage="*\\dwm.exe"
| where NOT match(ProcessName, "explorer.exe")
| stats count by ProcessName, TargetImage, User, Computer
| where count > 5
index=sysmon EventCode=1 Image="*\\dwm.exe"
| where NOT like(ParentImage, "%explorer.exe")
| table _time, Computer, ParentImage, Image, User
index=windows EventCode=43
| timechart span=1m count
| where count > 50
handles = search index=sysmon EventCode=10 TargetImage="*\\dwm.exe"
| eval key=Computer."-"._time
| table key, Computer, _time;
gpu = search index=windows EventCode=43
| eval key=Computer."-"._time
| table key, Computer, _time;
handles
| join key gpu
| table Computer, handles._time, gpu._time
Das Microsoft-Advisory für CVE 2026 20805 enthält einen Patch, der Pufferindizes im DWM vor dem Kopieren von GPU-Daten validiert.
| Windows-Version | Patch-Nummer |
|---|---|
| 10.0.19041 | KB5000001 |
| 10.0.19042 | KB5012345 |
Invoke-DwmRead-Routine auf Testknoten fehlerfrei läuft.dwm-Prozesserstellungen.Die Offenlegung von Informationen über DWM wird oft unterschätzt, da sie UI-Artefakte und Sitzungsdaten über Benutzer hinweg offenlegen kann. Geleakter GPU-Speicher kann laterale Bewegung unterstützen, insbesondere in Umgebungen, in denen mehrere Sitzungen eine einzelne Workstation oder einen einzelnen Server gemeinsam nutzen.
Hohe Vertraulichkeitsauswirkung: Die Schwachstelle ermöglicht einem Angreifer, Fensterinhalte aus anderen Sitzungen zu lesen.
Mittlerer CVSS-Score (5.5): Obwohl der numerische Wert moderat ist, ist die operative Bedeutung hoch.
CVE 2026 20805 zeigt, dass eine lokale Ausnutzung von DWM mit geringen Privilegien erhebliche Datenlecks verursachen kann. Die Aufnahme der Schwachstelle in den Known Exploited Vulnerabilities Catalog von CISA unterstreicht ihre reale Relevanz. Durch die Anwendung der beschriebenen Schadensbegrenzungs-, Erkennungs- und Patch-Strategie kann eine Organisation das Risiko reduzieren und gleichzeitig die Transparenz über GPU-Speicherflüsse verbessern.