CVE-2026-85904
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Warunek wyścigu (race condition) wynikający z niewłaściwej synchronizacji współdzielonego zasobu w usłudze Windows Device Association Service pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.
Ocena ryzyka
Luka pozwala atakującemu z ważnymi poświadczeniami na eskalację uprawnień, co może prowadzić do przejęcia kontroli nad hostem.
Rekomendacja
Zastosuj poprawki Microsoft dla Windows Device Association Service i wdróż zasadę najmniejszych uprawnień dla kont lokalnych.
Inne podatności w Windows Device Association Service
Zobacz wszystkie- CVE-2026-96854Średnie
Dostęp do zasobu przy użyciu niezgodnego typu (pomylenie typów) w usłudze Windows Device Association Service umożliwia autoryzowanemu atakującemu lokalne ujawnienie informacji.
- CVE-2026-85815Średnie
Podatność typu out-of-bounds read w usłudze Windows Device Association Service pozwala uwierzytelnionemu atakującemu na ujawnienie informacji lokalnie.
- CVE-2026-85352Wysokie
Podatność typu use after free w usłudze Windows Device Association Service pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.
- CVE-2026-85342Wysokie
Podatność typu use after free w usłudze Windows Device Association Service pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.
- CVE-2026-85336Średnie
Podatność typu out-of-bounds read w Windows Device Association Service pozwala uwierzytelnionemu atakującemu na ujawnienie informacji w kontekście lokalnym. Problem dotyczy nieprawidłowego odczytu poza zakresem bufora.
- CVE-2026-85332Wysokie
Podatność typu use after free w usłudze Windows Device Association Service pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.
- CVE-2026-85331Średnie
Podatność typu out-of-bounds read w Windows Device Association Service pozwala uwierzytelnionemu atakującemu na ujawnienie informacji przez sieć. Problem dotyczy nieprawidłowego odczytu poza zakresem bufora.
- CVE-2026-84014Wysokie
Przepełnienie bufora na stercie w usłudze kojarzenia urządzeń systemu Windows (Device Association Service) umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie.
- CVE-2026-83710Wysokie
Podatność typu use after free w Windows Device Association Service pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.
- CVE-2026-70227Średnie
Odczyt poza zakresem (out-of-bounds read) w usłudze Windows Device Association Service pozwala uwierzytelnionemu atakującemu na lokalne ujawnienie informacji.
Oryginalny opis (angielski, źródło NVD)
Concurrent execution using shared resource with improper synchronization ('race condition') in Windows Device Association Service allows an authorized attacker to elevate privileges locally.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS