KritischCVE-2025-32709

Microsoft Windows: Use-After-Free (CVE-2025-32709)

Veröffentlicht 13.05.2025In CISA KEV seit 13.05.2025Quellen: pwn.watch, CVE.org, Msrc Update Guide

Was ist betroffen, was ist zu tun

Ein Nullzeiger-Dereferenzierungsfehler im Hilfsfunktions-Treiber für Winsock unter Windows ermöglicht es einem berechtigten Angreifer, lokal Berechtigungen zu erhöhen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Microsoft Windows 10 Version 1507 auf Version 10.0.10240.21014, Microsoft Windows 10 Version 1607 auf Version 10.0.14393.8066, Microsoft Windows 10 Version 1809 auf Version 10.0.17763.7314. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen: Microsoft Windows 10 Version 1507 lt 10.0.10240.0..10.0.10240.21014
Microsoft Windows 10 Version 1607 lt 10.0.14393.0..10.0.14393.8066
Microsoft Windows 10 Version 1809 lt 10.0.17763.0..10.0.17763.7314
Microsoft Windows 10 Version 21H2 lt 10.0.19044.0..10.0.19044.5854
Microsoft Windows 10 Version 22H2 lt 10.0.19045.0..10.0.19045.5854
Microsoft Windows 11 version 22H2 lt 10.0.22621.0..10.0.22621.5335
Microsoft Windows 11 version 22H3 lt 10.0.22631.0..10.0.22631.5335
Microsoft Windows 11 Version 23H2 lt 10.0.22631.0..10.0.22631.5335
Microsoft Windows 11 Version 24H2 lt 10.0.26100.0..10.0.26100.4061
Microsoft Windows Server 2008 R2 Service Pack 1 lt 6.1.7601.0..6.1.7601.27730
Microsoft Windows Server 2008 R2 Service Pack 1 (Server Core installation) lt 6.1.7601.0..6.1.7601.27730
Microsoft Windows Server 2008 Service Pack 2 lt 6.0.6003.0..6.0.6003.23317
Microsoft Windows Server 2008 Service Pack 2 (Server Core installation) lt 6.0.6003.0..6.0.6003.23317
Microsoft Windows Server 2012 lt 6.2.9200.0..6.2.9200.25475
Microsoft Windows Server 2012 (Server Core installation) lt 6.2.9200.0..6.2.9200.25475
Microsoft Windows Server 2012 R2 lt 6.3.9600.0..6.3.9600.22577
Microsoft Windows Server 2012 R2 (Server Core installation) lt 6.3.9600.0..6.3.9600.22577
Microsoft Windows Server 2016 lt 10.0.14393.0..10.0.14393.8066
Microsoft Windows Server 2016 (Server Core installation) lt 10.0.14393.0..10.0.14393.8066
Microsoft Windows Server 2019 lt 10.0.17763.0..10.0.17763.7314
Microsoft Windows Server 2019 (Server Core installation) lt 10.0.17763.0..10.0.17763.7314
Microsoft Windows Server 2022 lt 10.0.20348.0..10.0.20348.3692
Microsoft Windows Server 2022, 23H2 Edition (Server Core installation) lt 10.0.25398.0..10.0.25398.1611
Microsoft Windows Server 2025 lt 10.0.26100.0..10.0.26100.4061
Microsoft Windows Server 2025 (Server Core installation) lt 10.0.26100.0..10.0.26100.4061
Behoben in: Microsoft Windows 10 Version 1507 10.0.10240.21014
Microsoft Windows 10 Version 1607 10.0.14393.8066
Microsoft Windows 10 Version 1809 10.0.17763.7314
Microsoft Windows 10 Version 21H2 10.0.19044.5854
Microsoft Windows 10 Version 22H2 10.0.19045.5854
Microsoft Windows 11 version 22H2 10.0.22621.5335
Microsoft Windows 11 version 22H3 10.0.22631.5335
Microsoft Windows 11 Version 23H2 10.0.22631.5335
Microsoft Windows 11 Version 24H2 10.0.26100.4061
Microsoft Windows Server 2008 R2 Service Pack 1 6.1.7601.27730
Microsoft Windows Server 2008 R2 Service Pack 1 (Server Core installation) 6.1.7601.27730
Microsoft Windows Server 2008 Service Pack 2 6.0.6003.23317
Microsoft Windows Server 2008 Service Pack 2 (Server Core installation) 6.0.6003.23317
Microsoft Windows Server 2012 6.2.9200.25475
Microsoft Windows Server 2012 (Server Core installation) 6.2.9200.25475
Microsoft Windows Server 2012 R2 6.3.9600.22577
Microsoft Windows Server 2012 R2 (Server Core installation) 6.3.9600.22577
Microsoft Windows Server 2016 10.0.14393.8066
Microsoft Windows Server 2016 (Server Core installation) 10.0.14393.8066
Microsoft Windows Server 2019 10.0.17763.7314
Microsoft Windows Server 2019 (Server Core installation) 10.0.17763.7314
Microsoft Windows Server 2022 10.0.20348.3692
Microsoft Windows Server 2022, 23H2 Edition (Server Core installation) 10.0.25398.1611
Microsoft Windows Server 2025 10.0.26100.4061
Microsoft Windows Server 2025 (Server Core installation) 10.0.26100.4061

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

7,8

Priorität

XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

Quelle: NVD, CVSS v3

7,8

CVSS v3

Schweregrad Hoch auf der Skala von 0 bis 10.

Quelle: pwn.watch, CVE.org, Msrc Update Guide

1,8 %

EPSS-Score

Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.

Quelle: FIRST EPSS, Perzentil 78,6

Alle Metriken anzeigen

Schweregrad: Kritisch
Priorität (0–325) Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst? Im Glossar lesen: 197.39 Methodik
Exploit-Reife Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht. Im Glossar lesen: aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab) So stufen wir ein
XIEM Effective CVSS XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command. Im Glossar lesen: 7,8 Methodik
CVSS v3 CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen. Im Glossar lesen: 7,8
EPSS-Score Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“. Im Glossar lesen: 1,8 %; Moderat – Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
EPSS-Perzentil Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking. Im Glossar lesen: 78,6; Hoch – CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
KEV-Status Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Im Glossar lesen: Aktiv ausgenutzt
Veröffentlicht: 13.05.2025
In CISA KEV seit Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Im Glossar lesen: 13.05.2025
CWE CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse. Im Glossar lesen: CWE-416

Behebung und Mitigation

Warum sofort handeln?

Priorisierung

Die Schwachstelle ist ein klassischer Post-Exploitation-Baustein. Sie setzt bereits erlangte lokale Codeausführung mit niedrigen Rechten voraus, verlangt keine Benutzerinteraktion und führt mit geringer Komplexität zur vollständigen Systemkontrolle. Deshalb wird sie nach Phishing oder kompromittierten Konten eingesetzt, um Sicherheitssoftware auszuschalten und Anmeldedaten für die laterale Bewegung zu gewinnen. Hinweis: CISA beschreibt den Fehler als Use-after-free, NVD als Null-Pointer-Dereferenzierung. Die Patchanforderung ändert sich dadurch nicht. Die Exploit-Wahrscheinlichkeit wird im Allgemeinen als mäßig erhöht eingeschätzt, und CISA meldet keine bekannte Ransomware-Nutzung. Gleichwohl gilt: Mehrbenutzer- und Admin-Systeme mit hoher Priorität innerhalb weniger Tage patchen, die übrige Client-Flotte im regulären, beschleunigten Patchzyklus.

01
Schritt 1 im Runbook
Sofort-Response (0-24 h)
- Kumulatives Sicherheitsupdate vom Mai 2025 ausrollen. Zielstände laut Advisory: Windows 10 1507 ≥ 10.0.10240.21014, 1607 ≥ 10.0.14393.8066, 1809 ≥ 10.0.17763.7314, 21H2/22H2 ≥ 10.0.19044.5854 bzw. 10.0.19045.5854, Windows 11 22H2 ≥ 10.0.22621.5335, 22H3/23H2 ≥ 10.0.22631.5335. Die KB-Nummern je Build stehen im Microsoft-Advisory. Server-Editionen mit identischer Build-Basis (14393, 17763) und nicht gelistete Versionen (z. B. Windows 11 24H2) gegen das Vendor-Advisory prüfen.
- Build-Inventur über MDM/SCCM/Intune erstellen. Auswertung nach UBR unter HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion (CurrentBuild.UBR). Alle Systeme unterhalb der Zielbuilds als offen kennzeichnen.
- Mehrbenutzersysteme zuerst patchen. Dazu zählen RDS-/Citrix-Hosts, VDI-Pools, Jump-Hosts, Admin-Workstations und Kiosk-Systeme. Dort verfügen viele niedrig privilegierte Konten über lokale Codeausführung, und eine Rechteausweitung auf SYSTEM wirkt unmittelbar auf fremde Sitzungen und zwischengespeicherte Anmeldedaten.
- Systeme ohne Patchfähigkeit identifizieren. Betroffen sind EOL-Builds und nicht mehr ESU-berechtigte LTSB/LTSC-Stände. Diese Systeme sofort in ein restriktives Segment verschieben und interaktive Anmeldungen auf benannte Administratoren beschränken.
- Retrospektive Jagd auf Rechteausweitung durchführen (siehe Detection-Regeln), mindestens zurück bis Anfang Mai 2025. Bei bestätigter Ausnutzung auf KRITIS-/NIS2-relevanten Systemen die Meldepflicht prüfen (Frühwarnung binnen 24 h).
02
Schritt 2 im Runbook
Mitigation-Layer
- Konfiguration: Für den Treiber afd.sys gibt es keinen praktikablen Workaround. Er ist Kernbestandteil des Winsock-Stacks und lässt sich nicht deaktivieren. Kompensierende Maßnahmen müssen daher den lokalen Erstzugriff und die Codeausführung erschweren.
- Anwendungskontrolle: WDAC- oder AppLocker-Richtlinien setzen, die die Ausführung unsignierter Binärdateien aus benutzerbeschreibbaren Pfaden blockieren (%AppData%, %Temp%, %LocalAppData%, C:\Users\Public, C:\ProgramData). Exploits für lokale Rechteausweitung werden typischerweise von dort gestartet.
- Endpunkthärtung: HVCI bzw. Speicherintegrität aktivieren, damit Kernel-Manipulationen nach erfolgreicher Ausnutzung erschwert werden. Zusätzlich LSA-Schutz (RunAsPPL) und Credential Guard einschalten, um das Auslesen von LSASS nach der Eskalation zu begrenzen. Die ASR-Regel „Block credential stealing from LSASS" im Block-Modus betreiben.
- IAM/Least Privilege: Lokale Administratorrechte entziehen und lokale Admin-Passwörter per Windows LAPS rotieren. Ein Tier-Modell durchsetzen, damit keine Domänen- oder Tier-0-Anmeldedaten auf Tier-2-Endpunkten zwischengespeichert werden. Die eskalierte SYSTEM-Instanz soll keine privilegierten Tokens vorfinden.
- Zugriffsbeschränkung: Auf Servern das Recht „Lokal anmelden" bzw. „Anmelden über Remotedesktopdienste" auf notwendige Gruppen reduzieren. Initiale Zugangsvektoren (Phishing-Payloads, Makros, gestohlene VPN-Konten) verstärkt überwachen, denn diese Schwachstelle ist ein typischer Folgeschritt nach dem Erstzugriff.
03
Schritt 3 im Runbook
Detection-Regeln
- Sysmon EID 1 / Security 4688: Prozess mit IntegrityLevel=System bzw. User=NT AUTHORITY\SYSTEM, dessen Elternprozess unter einem Standardbenutzer läuft und nicht services.exe, wininit.exe oder svchost.exe ist. KQL-Beispiel: DeviceProcessEvents | where AccountSid=="S-1-5-18" and InitiatingProcessAccountSid!="S-1-5-18" and InitiatingProcessFileName !in~ ("services.exe","svchost.exe","wininit.exe")
- EDR-Prozessabstammung: Unsignierte Binärdatei aus \AppData\ oder \Temp\ startet kurz darauf cmd.exe, powershell.exe oder whoami.exe im SYSTEM-Kontext. Auch unmittelbar folgende Zugriffe auf lsass.exe (Sysmon EID 10, GrantedAccess 0x1010/0x1410) deuten auf Ausnutzung hin.
- Security 4672: Spezielle Berechtigungen (z. B. SeDebugPrivilege, SeTcbPrivilege) für Konten, die nicht in Admin-Gruppen sind. Zusätzlich 4720/4732 (neues lokales Konto bzw. Aufnahme in Administratoren) kurz nach einer Benutzeranmeldung beobachten.
- System-Log / WER: BugCheck-Ereignis 1001 oder Kernel-Abstürze mit Verweis auf afd.sys auf Endpunkten ohne bekannte Netzwerkprobleme. Solche Abstürze können fehlgeschlagene Exploit-Versuche anzeigen und sind besonders relevant, wenn mehrere Hosts derselben Benutzergruppe betroffen sind.
- Sigma-Form: logsource: windows/process_creation, selection: IntegrityLevel: System, filter: ParentUser not in (SYSTEM, LOCAL SERVICE, NETWORK SERVICE), condition: selection and not filter. Die Regel mit einer Prüfung auf Image-Pfade in benutzerbeschreibbaren Verzeichnissen kombinieren.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2 NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. Im Glossar lesen: Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
CRA Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Im Glossar lesen: Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
ISO/IEC 27001 ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Im Glossar lesen: Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Nullzeiger-Dereferenzierungsfehler im Hilfsfunktions-Treiber für Winsock unter Windows ermöglicht es einem berechtigten Angreifer, lokal Berechtigungen zu erhöhen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: pwn.watch, NVD (NIST), Microsoft Security Update Guide, cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

Betroffene Produkte

Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

Betroffene Produkte
		Betroffene Versionen	Behoben in
Microsoft	Windows 10 Version 1507	`10.0.10240.0 – < 10.0.10240.21014`	`10.0.10240.21014`
Microsoft	Windows 10 Version 1607	`10.0.14393.0 – < 10.0.14393.8066`	`10.0.14393.8066`
Microsoft	Windows 10 Version 1809	`10.0.17763.0 – < 10.0.17763.7314`	`10.0.17763.7314`
Microsoft	Windows 10 Version 21H2	`10.0.19044.0 – < 10.0.19044.5854`	`10.0.19044.5854`
Microsoft	Windows 10 Version 22H2	`10.0.19045.0 – < 10.0.19045.5854`	`10.0.19045.5854`
Microsoft	Windows 11 version 22H2	`10.0.22621.0 – < 10.0.22621.5335`	`10.0.22621.5335`
Microsoft	Windows 11 version 22H3	`10.0.22631.0 – < 10.0.22631.5335`	`10.0.22631.5335`
Microsoft	Windows 11 Version 23H2	`10.0.22631.0 – < 10.0.22631.5335`	`10.0.22631.5335`
Microsoft	Windows 11 Version 24H2	`10.0.26100.0 – < 10.0.26100.4061`	`10.0.26100.4061`
Microsoft	Windows Server 2008 R2 Service Pack 1	`6.1.7601.0 – < 6.1.7601.27730`	`6.1.7601.27730`
Microsoft	Windows Server 2008 R2 Service Pack 1 (Server Core installation)	`6.1.7601.0 – < 6.1.7601.27730`	`6.1.7601.27730`
Microsoft	Windows Server 2008 Service Pack 2	`6.0.6003.0 – < 6.0.6003.23317`	`6.0.6003.23317`
Microsoft	Windows Server 2008 Service Pack 2 (Server Core installation)	`6.0.6003.0 – < 6.0.6003.23317`	`6.0.6003.23317`
Microsoft	Windows Server 2012	`6.2.9200.0 – < 6.2.9200.25475`	`6.2.9200.25475`
Microsoft	Windows Server 2012 (Server Core installation)	`6.2.9200.0 – < 6.2.9200.25475`	`6.2.9200.25475`
Microsoft	Windows Server 2012 R2	`6.3.9600.0 – < 6.3.9600.22577`	`6.3.9600.22577`
Microsoft	Windows Server 2012 R2 (Server Core installation)	`6.3.9600.0 – < 6.3.9600.22577`	`6.3.9600.22577`
Microsoft	Windows Server 2016	`10.0.14393.0 – < 10.0.14393.8066`	`10.0.14393.8066`
Microsoft	Windows Server 2016 (Server Core installation)	`10.0.14393.0 – < 10.0.14393.8066`	`10.0.14393.8066`
Microsoft	Windows Server 2019	`10.0.17763.0 – < 10.0.17763.7314`	`10.0.17763.7314`
Microsoft	Windows Server 2019 (Server Core installation)	`10.0.17763.0 – < 10.0.17763.7314`	`10.0.17763.7314`
Microsoft	Windows Server 2022	`10.0.20348.0 – < 10.0.20348.3692`	`10.0.20348.3692`
Microsoft	Windows Server 2022, 23H2 Edition (Server Core installation)	`10.0.25398.0 – < 10.0.25398.1611`	`10.0.25398.1611`
Microsoft	Windows Server 2025	`10.0.26100.0 – < 10.0.26100.4061`	`10.0.26100.4061`
Microsoft	Windows Server 2025 (Server Core installation)	`10.0.26100.0 – < 10.0.26100.4061`	`10.0.26100.4061`

Hersteller und Produkte

Betroffene Betriebssysteme

Betroffene Betriebssysteme

Windows	microsoft	windows_10_1507	—
Windows	microsoft	windows_10_1607	—
Windows	microsoft	windows_10_1809	—
Windows	microsoft	windows_10_21h2	—
Windows	microsoft	windows_10_22h2	—
Windows	microsoft	windows_11_22h2	—
Windows	microsoft	windows_11_23h2	—
Windows	microsoft	windows_11_24h2	—
Windows	microsoft	windows_server_2008	`r2`
Windows	microsoft	windows_server_2008	—
Windows	microsoft	windows_server_2012	`r2`
Windows	microsoft	windows_server_2012	—
Windows	microsoft	windows_server_2016	—
Windows	microsoft	windows_server_2019	—
Windows	microsoft	windows_server_2022	—
Windows	microsoft	windows_server_2022_23h2	—
Windows	microsoft	windows_server_2025	—

Weakness-Klassen (CWE)

CWE-416Use After Free
Variant
The product reuses or references memory after it has been freed. At some point afterward, the memory may be allocated again and saved in another pointer, while the original pointer references a location somewhere within the new allocation. Any operations using the original pointer are no longer valid because the memory "belongs" to the code that operates on the new pointer.
Eintrag bei MITRE CWE-416

Öffentliche Exploit-Referenzen

Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

Öffentliche Exploit-Referenzen

CISA KEV Catalog	CISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.gov	aktiv ausgenutzt	13.05.2025

Quellen & Referenzen

Microsoft Security Update GuideWindows Ancillary Function Driver for WinSock Elevation of Privilege VulnerabilityHerstellerhinweis, Patch, Herstellerhinweis
cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-32709government-resource, US-Behörde
pwn.watchpwn.watch: Microsoft Windows: 5 exploited vulnerabilities (CVE-2025-30397, CVE-2025-30400, CVE-2025-32701, CVE-2025-32706, CVE-2025-32709)pwn-watch
Microsoft Security Update GuideMicrosoft advisory: Microsoft Windowspwn-watch
Microsoft Security Update GuideMicrosoft advisory: Microsoft Windowspwn-watch
Microsoft Security Update GuideMicrosoft advisory: Microsoft Windowspwn-watch
Microsoft Security Update GuideMicrosoft advisory: Microsoft Windowspwn-watch
Microsoft Security Update GuideMicrosoft advisory: Microsoft Windowspwn-watch
NVD (NIST)NVD: CVE-2025-30397pwn-watch
NVD (NIST)NVD: CVE-2025-30400pwn-watch
NVD (NIST)NVD: CVE-2025-32701pwn-watch
NVD (NIST)NVD: CVE-2025-32706pwn-watch
NVD (NIST)NVD: CVE-2025-32709pwn-watch
cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Badge einbetten

Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

<a href="https://intel.neosec.eu/cve/CVE-2025-32709"><img src="https://intel.neosec.eu/badge/cve/CVE-2025-32709.svg" alt="CVE-2025-32709 – NEOSEC Intel" height="20"></a>