Microsoft .NET Framework und Visual Studio: Rechteausweitung durch Type Confusion

Zusammenfassung

Ein Type-Confusion-Fehler (CWE-843) in .NET Framework und Visual Studio erlaubt einem Angreifer, seine Rechte über das Netzwerk auszuweiten. Laut den Research-Notizen betrifft die Visual-Studio-Komponente Microsoft.DiaSymReader.Native, eine Bibliothek für Debugging-Symbole. Der CVSS-Vektor setzt keine Berechtigungen, aber eine Benutzerinteraktion voraus, weshalb ein Angreifer typischerweise einen Benutzer dazu bringen muss, präparierte Inhalte zu öffnen oder auszuführen, etwa per Phishing oder über eine schädliche Datei. Die Rechteausweitung ist vor allem für einen Angreifer nützlich, der bereits Zugriff auf das System hat.

Betroffen

• Microsoft .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 und 4.8.1 (Builds vor den in der MSRC-Meldung genannten Fixversionen; genaue Build-Tabelle nicht verifiziert)
• Microsoft Visual Studio 2022 Version 17.14 vor 17.14.42
• Microsoft Visual Studio 2026 Version 18.10 vor 18.10.4

Behoben in

• Visual Studio 2026 18.10.4 und neuer; Visual Studio 2022 17.14.42 und neuer
• .NET Framework: kumulative Updates und Rollup-Updates vom 13. Oktober 2026 (konkrete KB-Nummern nicht verifiziert; im MSRC-Advisory prüfen)

Umgehung

Unbekannt.

Ausnutzung

• In den geprüften Quellen nicht als ausgenutzt gelistet.
• Rapid7 stuft die Ausnutzung als eher unwahrscheinlich ein; Tenable meldet keine bekannten Exploits.
• Widersprüchliche Angaben liegen vor (ein Tenable-Plugin für Windows markiert einen Exploit als verfügbar); dies gilt als nicht bestätigt.
• EPSS-Wert etwa 0,007.

Unsere Empfehlung

• Die Windows- und .NET-Framework-Updates vom 13. Oktober 2026 im Rahmen des regulären monatlichen Patchings auf allen Servern und Endgeräten installieren.
• Visual Studio auf Entwickler-Arbeitsstationen auf 18.10.4 oder neuer (bzw. 17.14.42 oder neuer) aktualisieren.
• Vor dem Rollout die genauen Fixversionen und KB-Nummern im MSRC-Advisory prüfen.
• Auf einen öffentlichen Proof-of-Concept oder eine Aufnahme in den KEV-Katalog der CISA achten, da sich der Status ändern kann.
• Benutzer schulen, keine unbekannten Dateien und Links zu öffnen, da eine Benutzerinteraktion erforderlich ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-102869 msrc.microsoft.com
• Visual Studio 2026 release notes learn.microsoft.com
• Visual Studio 2022 release notes learn.microsoft.com
• Rapid7 October 2026 Patch Tuesday analysis www.rapid7.com
• Tenable plugin 366093 (.NET Framework) www.tenable.com
• NVD mirror on Vulners: CVE-2026-102869 vulners.com
• CVE aggregator: CVE-2026-102869 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:24.