CVE-2026-41858 in windows-utilities-release
Zusammenfassung
von VulDB • 04.06.2026
Schwache Zufälligkeit / Unsichere kryptografische Primitive (CWE-338) in Get-RandomPassword im BOSH-Ecosystem / windows-utilities-release ermöglicht es einem Netzwerkangreifer, den VM-Startzeitpunkt zu schätzen und eine kleine Kandidatenliste zu rekonstruieren, um das Administratorpasswort wiederherzustellen. Der Job „randomize_password“ dient ausschließlich dazu, das lokale Administrator-Konto hinter einem nicht erratbaren Passwort zu schützen, um als Hardening-Maßnahme zu dienen. Da das Passwort aus einem vorhersagbaren, clock-gesteuerten PRNG (Pseudo-Zufallszahlengenerator) abgeleitet wird, kann ein Netzwerkangreifer, der den VM-Startzeitpunkt schätzen kann, eine kleine Kandidatenliste rekonstruieren und das Administratorpasswort wiederherstellen, wodurch die Hardening-Maßnahme ausgehebelt wird.
Betroffene Versionen: - windows-utilities-release: alle Versionen vor v0.23.0 (inklusive); behoben in v0.23.0 oder später
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.