Spoofing-Lücke in Windows-Verknüpfungen geschlossen Freigegebenen Ordner anzeigen reicht für NTLM-Credential-Diebstahl

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Eine Schwachstelle im Windows Explorer (CVE-2026-25185) erlaubt An­grei­fern über manipulierte LNK-Dateien, Systeme zu einer Authentifizierung an fremde Server zu zwingen. Schon die Anzeige eines freigegebenen Ordners genügt für NTLM-Credential-Diebstahl. Microsoft liefert einen Fix, 0patch versorgt ältere Windows-Versionen ohne Support.

Microsoft hat die Spoofing-Lücke CVE-2026-25185 in der Verarbeitung von Verknüpfungs­da­tei­en (LNK) mit dem Sicherheitsupdate vom 10.03.2026 behoben. Der Anbieter ACROS Security stellt über den Dienst 0patch zusätzliche Micropatches für Windows-Versionen ohne offiziellen Support bereit. Microsoft stuft den Schweregrad als wichtig ein und ordnet die Lücke der Schwäche CWE-200 zu. Der CVSS-Wert nach Version 3.1 beträgt 5.3. Eine aktive Ausnutzung dokumentiert Microsoft zum Zeitpunkt der Veröffentlichung nicht.

So funktioniert 0Patch

Micropatches: In-Memory Schutz für Windows 10

Manipulierte Verknüpfung löst die Authentifizierung aus

Die Schwachstelle steckt in der Art und Weise, wie der Windows-Explorer Verknüpfungsdateien auswertet. Eine LNK-Datei mit einem gefüllten Darwin-ExtraData-Block und einem gefüllten Icon-Environment-Data-Block bringt das System dazu, den im Icon-Block hinterlegten Pfad zu öffnen. Das System authentifiziert sich dabei an das angegebene Ziel. Schon das Anzeigen eines freigegebenen Ordners im Explorer reicht aus, denn das Betriebssystem lädt für die Darstellung das Symbol der Verknüpfung.

Über die erzwungene Authentifizierung greifen Angreifer die übertragenen Anmeldeinformationen ab. NTLM-Relay-Angriffe und weitere Angriffe auf die Zugangsdaten schließen sich an. Microsoft bewertet allein die Vertraulichkeit als beeinträchtigt, Integrität und Verfügbarkeit bleiben unberührt.

Microsoft prüft die Sicherheitszone vor dem Zugriff

Der Hersteller ergänzt in der Funktion CShellLink::_UpdateIconFromExpIconSz zwei Prüfungen der Sicherheitszone vor den Aufrufen von PathFileExistsW. Die Prüfung über MapUrlToZone ordnet den Zielpfad einer Zone zu. Gehört der Pfad zur lokalen Zone, zum Intranet oder zu den vertrauenswürdigen Sites, erfolgt der Aufruf von PathFileExistsW. Fällt der Pfad in die Internet- oder die eingeschränkte Zone, überspringt das System diesen Aufruf und unterbindet die ausgehende Authentifizierung.

0Patch in der Praxis

Windows 10 trotz Support-Ende bis Ende 2030 nutzen

Micropatches für Windows-Versionen ohne Support

Für Systeme ohne offizielle Updates stellt ACROS Security über den 0patch-Dienst eigene Micropatches bereit. Die Korrektur arbeitet nach Herstellerangaben logisch identisch zur offiziellen Lösung von Microsoft. Versorgt sind unter anderem Windows 7, Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2 sowie mehrere nicht mehr unterstützte Ausgaben von Windows 10. Der 0patch-Agent verteilt die Micropatches automatisch an betroffene Systeme in den kostenpflichtigen Konten, ohne Neustart. Den Hinweis auf die Lücke und den dazugehörigen Proof of Concept lieferte der TrustedSec-Forscher Christopher Paschen.

Fazit

Microsoft bewertet die Wahrscheinlichkeit einer Ausnutzung als gering, und eine aktive Verbreitung ist bis zur Veröffentlichung nicht dokumentiert. Der Angriff bleibt dennoch attraktiv, denn die bloße Anzeige eines freigegebenen Ordners genügt, um verwertbare Anmeldeinformationen abzugreifen. Für unterstützte Systeme schließt der Patchday vom 10.03.2026 die Lücke, für ältere Windows-Versionen schließt sie der 0patch-Dienst.

(ID:50864209)