CVE-2026-21509 — Microsoft Office Umgehung von Sicherheitsfunktionen
- CVE-2026-21509 ist eine Schwachstelle zur Umgehung von Sicherheitsfunktionen in Microsoft Office
- CVSS 7.8, aktiv von APT28 (russische Hacker) gegen die Ukraine ausgenutzt
- Vertrauen auf nicht vertrauenswürdige Eingaben bei Sicherheitsentscheidungen (CWE-807) – „Kill-Bit umgehen"
- Ermöglicht die Umgehung von Protected View und OLE-Mitigationen durch bösartige Dokumente
- Betrifft Office 2016, 2019, 2021, 2024, Microsoft 365 Apps
- Notfall-Out-of-Band-Patch im Januar 2026 veröffentlicht
Überblick
CVE-2026-21509 ist eine Schwachstelle zur Umgehung von Sicherheitsfunktionen in Microsoft Office, die
es einem Angreifer ermöglicht, Protected View und OLE-Mitigationen (Object Linking and
Embedding) zu umgehen. Der Fehler liegt darin, wie Office das Kill-Bit validiert —
einen Registrierungsmechanismus, der gefährliche CLSIDs blockieren soll. Durch die Bereitstellung eines manipulierten
OLE-Objekts mit einer geänderten CLSID oder durch Manipulation des Aktivierungskontexts kann ein
Angreifer Office dazu bringen, einem eingebetteten Steuerelement zu vertrauen, das hätte blockiert werden
sollen.
Technische Details
Grundursache: CWE-807 – Vertrauen auf nicht vertrauenswürdige Eingaben bei einer Sicherheitsentscheidung.
Die Kill-Bit-Prüfung für COM/OLE-Objekte verwendet Daten, die ein Angreifer über
dokumentebene Überschreibungen beeinflussen kann. Insbesondere kann die IDataObject- oder
IOleObject-Implementierung in bestimmten Office-Dokumenten die Kill-Bit-Abfrage auf einen
vom Angreifer kontrollierten Registrierungspfad umleiten oder eine GUID liefern, die die
Blockliste vollständig umgeht.
Angriffsvektor:
- Eine manipulierte RTF- oder DOCX-Datei bettet ein bösartiges OLE-Objekt ein (z. B. ein
COM-Steuerelement zur Shell-Ausführung).
- Beim Öffnen fragt Office das Kill-Bit in der Registrierung ab, bevor es das OLE-
Objekt aktiviert.
- Das Dokument liefert eine gefälschte CLSID oder untergräbt die Abfrage über einen OLE-
Verb-/Datenpfadeintrag, der auf einen nicht standardmäßigen Registrierungsspeicherort verweist.
- Das Kill-Bit wird am erwarteten Pfad nicht gefunden, daher startet Office das
Steuerelement ohne Einschränkung.
- Das Steuerelement führt vom Angreifer bereitgestellten Code aus (z. B. MSHTA, PowerShell oder eine
Skript-Engine).
Betroffene Versionen
| Product | Version / Build |
|---|
| Office 2016 | Alle Versionen vor KB5002711 |
| Office 2019 | Alle Versionen vor KB5002712 |
Reproduktionsschritte
- Installieren Sie eine betroffene Version von Microsoft Office (siehe Tabelle oben) in einer
Windows 10/11 x64-Testumgebung.
- Erzeugen Sie ein bösartiges Dokument mit dem bereitgestellten
exploit.py:
python exploit.py --output malicious.doc --payload "calc.exe"
- Öffnen Sie die erzeugte Datei in Office. Protected View sollte umgangen werden
und der Payload wird ausgeführt.
- Nachdem der Patch angewendet wurde, sollte dieselbe Datei blockiert werden –
was den Fix bestätigt.
Proof of Concept
Das Skript exploit.py in diesem Repository erzeugt eine manipulierte RTF/DOC-Datei, die:
- Ein OLE-Objekt einbettet, dessen CLSID auf
{0002DF01-0000-0000-C000-000000000046} gesetzt ist (DHTML-Edit-Steuerelement – ein häufig als Waffe eingesetztes Steuerelement).
- Die
\objdata- und \object-Gruppen im RTF manipuliert, um die Kill-Bit-Abfrage
während der Aktivierung zu umgehen.
- Optional einen Skript-Payload (PowerShell oder MSHTA) bündelt, der bei der
Aktivierung ausgeführt wird.
⚠ WARNUNG: Dieser PoC wird ausschließlich für autorisierte Sicherheitstests bereitgestellt.
Setzen Sie ihn nicht gegen Systeme ein, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testgenehmigung haben.
Gegenmaßnahmen
- Installieren Sie das Out-of-Band-Update vom Januar 2026 – dies ist der einzige vollständige Fix.
- Überprüfen und setzen Sie die erweiterte Kill-Bit-Liste aus KB5002711 durch.
- Aktivieren Sie die Attack Surface Reduction-Regeln (ASR) für die Erzeugung von
Office-Unterprozessen.
- Ziehen Sie in Betracht, Microsoft Defender for Office 365 zu verwenden, um bekannte Exploit-
Dokumente zu blockieren.
- Beschränken Sie die Aktivierung von OLE-Objekten über Gruppenrichtlinien:
`Computer Configuration > Administrative Templates > Microsoft Office
Security Settings > Disable OLE Activation`.
Referenzen
