CVE-2026-21525
Microsoft Windows NULL Pointer Dereference Vulnerability
Beschreibung
CVE-2026-21525 ist eine Denial-of-Service-Schwachstelle im Windows Remote Access Connection Manager mit einem CVSS-Score von 6.2 (MEDIUM). Die Schwachstelle basiert auf einer NULL-Pointer-Dereferenzierung, die es einem nicht authentifizierten Angreifer ermoeglicht, den Dienst lokal zum Absturz zu bringen. Der Angriffsvektor ist lokal (AV:L), erfordert jedoch weder Benutzerinteraktion (UI:N) noch besondere Berechtigungen (PR:N) und weist eine niedrige Komplexitaet (AC:L) auf. Die CISA hat diese Schwachstelle in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen mit einer Frist bis zum 3. Maerz 2026. Der EPSS-Score betraegt 0.02162 (84.02. Perzentil), was auf eine erhoehte Ausnutzungswahrscheinlichkeit hinweist. Betroffen sind zahlreiche Windows-Versionen von Windows 10 ueber Windows 11 bis hin zu Windows Server 2016 bis 2025.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.8868 |
| microsoft | windows 10 1809 | < 10.0.17763.8389 |
| microsoft | windows 10 21h2 | < 10.0.19044.6937 |
| microsoft | windows 10 22h2 | < 10.0.19045.6937 |
| microsoft | windows 11 23h2 | < 10.0.22631.6649 |
| microsoft | windows 11 24h2 | < 10.0.26100.7781 |
| microsoft | windows 11 25h2 | < 10.0.26200.7781 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.8868 |
| microsoft | windows server 2019 | < 10.0.17763.8389 |
| microsoft | windows server 2022 | < 10.0.20348.4711 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.2149 |
| microsoft | windows server 2025 | < 10.0.26100.32313 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21525(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-21525-detection-script-dos-vulnerability-in-windows-remote-access-connection-manager(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-21525-mitigation-script-dos-vulnerability-in-windows-remote-access-connection-manager(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21525(US Government Resource)
Schwachstellentyp
CWE-476: NULL Pointer Dereference
Die Schwachstelle wird als CWE-476 (NULL Pointer Dereference) klassifiziert. Eine NULL-Pointer-Dereferenzierung tritt auf, wenn eine Anwendung versucht, auf einen Speicherbereich ueber einen Zeiger zuzugreifen, der den Wert NULL hat. Dies fuehrt in der Regel zu einem Programmabsturz oder einer unbehandelten Ausnahme. Im Kontext von CVE-2026-21525 bedeutet dies, dass der Windows Remote Access Connection Manager unter bestimmten Bedingungen einen NULL-Zeiger dereferenziert, was zum Absturz des Dienstes fuehrt und damit eine Denial-of-Service-Bedingung erzeugt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-21525 beschraenken sich primaer auf die Verfuegbarkeit des betroffenen Dienstes. Vertraulichkeit: Es besteht kein Risiko fuer die Vertraulichkeit von Daten (C:N), da die Schwachstelle keine Informationsoffenlegung ermoeglicht. Integritaet: Ebenso ist die Datenintegritaet nicht gefaehrdet (I:N), da keine Datenmanipulation moeglich ist. Verfuegbarkeit: Die Schwachstelle hat jedoch hohe Auswirkungen auf die Verfuegbarkeit (A:H), da der Remote Access Connection Manager zum vollstaendigen Absturz gebracht werden kann. Der Remote Access Connection Manager ist ein zentraler Windows-Dienst, der VPN-Verbindungen und Remote-Access-Funktionen verwaltet. Ein Ausfall dieses Dienstes kann dazu fuehren, dass Benutzer keine VPN-Verbindungen mehr herstellen koennen, was insbesondere in Unternehmen mit vielen Remote-Arbeitenden erhebliche Auswirkungen haben kann. Die Aufnahme in den CISA KEV-Katalog zeigt, dass diese Schwachstelle trotz ihres mittleren Schweregrades aktiv ausgenutzt wird. Der Ransomware-Status ist unbekannt.
Exploit-Reifegrad
CVE-2026-21525 wird aktiv ausgenutzt, was durch die Aufnahme in den CISA KEV-Katalog mit einer Frist bis zum 3. Maerz 2026 bestaetigt wird. Der EPSS-Score von 0.02162 im 84.02. Perzentil deutet auf eine ueberdurchschnittliche Ausnutzungswahrscheinlichkeit hin. Obwohl der Angriffsvektor lokal ist, kann die Schwachstelle ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden. Die Exploitation einer NULL-Pointer-Dereferenzierung erfordert in der Regel wenig technisches Geschick, da der Absturz durch das Senden speziell gestalteter Eingaben an den verwundbaren Dienst ausgeloest werden kann. In Kombination mit anderen Schwachstellen koennte die Denial-of-Service-Bedingung auch als Vorstufe fuer komplexere Angriffe genutzt werden.
Behebung
-
Sicherheitsupdates installieren: Installieren Sie umgehend die aktuellen Windows-Sicherheitsupdates ueber Windows Update oder den Microsoft Security Response Center.
-
Betroffene Systeme identifizieren: Pruefen Sie alle Windows-Systeme auf die folgenden Mindestversionen: Windows 10 1607 (10.0.14393.8868), Windows 10 1809 (10.0.17763.8389), Windows 10 21H2/22H2 (10.0.19044.6937 bzw. 10.0.19045.6937), Windows 11 23H2 (10.0.22631.6649), Windows 11 24H2 (10.0.26100.7781), Windows 11 25H2 (10.0.26200.7781) sowie die entsprechenden Server-Versionen.
-
Dienst-Ueberwachung einrichten: Implementieren Sie eine Ueberwachung des Remote Access Connection Manager-Dienstes, um unerwartete Neustarrts oder Abstuerze fruehzeitig zu erkennen.
-
VPN-Infrastruktur pruefen: Bewerten Sie die Abhaengigkeit Ihrer Organisation vom Remote Access Connection Manager und stellen Sie sicher, dass alternative VPN-Loesungen als Fallback verfuegbar sind.
-
CISA-Frist einhalten: Patchen Sie alle betroffenen Systeme bis zum 3. Maerz 2026, um der CISA-Richtlinie zu entsprechen.
Technische Details
CVE-2026-21525 betrifft den Windows Remote Access Connection Manager (RasMan), einen Systemdienst, der Remote-Access- und VPN-Verbindungen verwaltet. Der CVSS:3.1-Vektor AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H beschreibt einen lokalen Angriff mit niedriger Komplexitaet, der weder Authentifizierung noch Benutzerinteraktion erfordert. Die Schwachstelle basiert auf einer NULL-Pointer-Dereferenzierung (CWE-476), bei der der Dienst unter bestimmten Bedingungen versucht, auf einen ungueltig initialisierten Zeiger zuzugreifen. Dies fuehrt zu einer unbehandelten Ausnahme und dem Absturz des Dienstes. Der lokale Angriffsvektor bedeutet, dass der Angreifer bereits Zugang zum System haben muss, entweder physisch oder ueber eine Remote-Sitzung. Der Scope bleibt unveraendert (S:U), sodass nur der betroffene Dienst selbst beeintraechtigt wird. Die Schwachstelle betrifft alle aktuell unterstuetzten Windows-Versionen, einschliesslich Client- und Server-Editionen.
Häufig gestellte Fragen
Was ist der Windows Remote Access Connection Manager?
Der Remote Access Connection Manager (RasMan) ist ein Windows-Systemdienst, der VPN-Verbindungen und DFUe-Verbindungen (Dial-up Networking) verwaltet. Er ist auf allen Windows-Systemen vorhanden und wird fuer die Herstellung und Verwaltung von Remote-Netzwerkverbindungen benoetigt.
Welche Auswirkungen hat CVE-2026-21525?
Die Schwachstelle ermoeglicht einen Denial-of-Service-Angriff, der den Remote Access Connection Manager zum Absturz bringt. Dies kann dazu fuehren, dass VPN-Verbindungen unterbrochen werden und keine neuen Verbindungen hergestellt werden koennen, bis der Dienst neu gestartet wird.
Ist ein Fernzugriff fuer die Ausnutzung erforderlich?
Nein, der Angriffsvektor ist lokal (AV:L), was bedeutet, dass der Angreifer bereits ueber Zugang zum System verfuegen muss. Es sind jedoch keine besonderen Berechtigungen oder Benutzerinteraktion erforderlich.
Koennen Daten durch diese Schwachstelle gestohlen werden?
Nein, CVE-2026-21525 betrifft ausschliesslich die Verfuegbarkeit des Dienstes. Es besteht kein Risiko fuer die Vertraulichkeit oder Integritaet von Daten.
Warum ist eine DoS-Schwachstelle im CISA KEV-Katalog?
Die CISA nimmt Schwachstellen in den KEV-Katalog auf, die aktiv ausgenutzt werden, unabhaengig vom Schweregrad. Auch Denial-of-Service-Schwachstellen koennen in der Praxis erhebliche Auswirkungen haben, insbesondere wenn sie kritische Infrastrukturdienste betreffen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.