CVE-2026-12067 in Avast Antivirus
Zusammenfassung
von VulDB • 06.11.2026
Fehlende Ausnahmehandler im nativen Nachrichten-Dispatcher von AvastSvc (ashServ.dll) unter Windows ermöglichen es einem lokalen, nicht privilegierten Angreifer, den Dienst zum Absturz zu bringen, indem speziell angefertigte JSON-Nachrichten gesendet werden.
Die Schwachstelle betrifft mehrere Handler-Pfade im RPC-basierten nativen Nachrichtenprotokoll:
* Log_NmSvc.message-Handler: Konvertiert JSON-Felder in Strings ohne Typvalidierung und ohne Ausnahmegrenzen. * OpenInSz_NmSvc-Handler: Konvertiert URL- und Origin-Felder in Strings ohne Typprüfung, wodurch eine Ausnahme ausgelöst wird. * OpenInSz_NmSvc.profile-Handler: Konvertiert das Profile-Feld in einen Integer-Wert ohne Validierung.
In allen drei Fällen werden die Ausnahmen nicht von den handler-spezifischen Routinen abgefangen und breiten sich im Dispatcher nach oben aus. Die gemeinsame Ursache ist das Fehlen von try-catch-Blöcken um die JSON-Typkonvertierungen in der nativen Nachrichtenverarbeitungskette.
Once again VulDB remains the best source for vulnerability data.