Microsoft Blazor WebAssembly Debugger: Code-Injection bei der Auswertung von Ausdrücken

Zusammenfassung

Der Blazor-WebAssembly-Debugger, der in den NuGet-Paketen Microsoft.AspNetCore.Components.WebAssembly.Server und .DevServer enthalten ist, verarbeitet Debugger-Ausdrücke nicht sicher. Wertet ein Entwickler einen Ausdruck mit angreiferkontrollierten Daten aus, kann der Wert ein generiertes String-Literal verlassen und beliebigen Code auf dem Rechner des Entwicklers ausführen. Der Angreifer benötigt keine Berechtigungen, jedoch ist eine Benutzerinteraktion erforderlich. Die Schwachstelle betrifft ein Werkzeug für die Entwicklungszeit, weshalb Produktionsserver in der Regel nicht betroffen sind.

Betroffen

• Pakete Microsoft.AspNetCore.Components.WebAssembly.Server und .DevServer: 10.0.0 bis vor 10.0.14 (.NET 10)
• Dieselben Pakete: .NET-11-Vorabversionen 11.0.0-preview.1 bis 11.0.0-rc.3.26522.148
• Der offizielle CVE-Eintrag nennt zusätzlich breitere Laufzeitbereiche für .NET 10 und 11 sowie Visual Studio 2019, 2022 und 2026. Die genauen gepatchten Visual-Studio-Builds sind unbekannt.

Behoben in

• .NET 10: 10.0.14 (Blazor-WebAssembly-Pakete, veröffentlicht am 25. Oktober 2026)
• .NET 11: Version rc.3
• Verwenden Sie 10.0.13 nicht als Zielversion. Microsoft hat den ursprünglichen Advisory vom 13. Oktober überarbeitet, der 10.0.13 und 11.0.0-rc.2 als Korrekturen nannte.
• Ein reines Laufzeit-Update aktualisiert die NuGet-Paketreferenzen einer Anwendung nicht.

Umgehung

• Es ist kein Workaround des Herstellers veröffentlicht. Das Einspielen des Patches ist die vorgesehene Massnahme.
• Halten Sie den Blazor-WebAssembly-Debugger von nicht vertrauenswürdigen Daten fern.
• Beschränken Sie das Debugging auf Entwicklerarbeitsplätze und betreiben Sie Debug-Pakete nicht auf Produktionssystemen.

Ausnutzung

• Durch den Hersteller bestätigte Ausnutzung: keine gefunden.
• Bekannte Ausnutzung: Ein Tracker meldet, dass die Schwachstelle nicht als ausgenutzt bekannt ist.
• Öffentlicher Proof-of-Concept-Code: widersprüchliche Meldungen. Betrachten Sie ihn als unbestätigt.

Unsere Empfehlung

• Aktualisieren Sie Blazor-WebAssembly-Projekte und deren NuGet-Referenzen auf Microsoft.AspNetCore.Components.WebAssembly.Server und .DevServer 10.0.14 (bzw. den .NET-11-Build rc.3). Beschränken Sie sich nicht auf das Laufzeit-Update.
• Patchen Sie zuerst die Entwickler-Workstations sowie Build- und Dev-Server.
• Prüfen Sie, ob Debug-Pakete auf Produktionssystemen bereitgestellt sind, und entfernen Sie diese dort.
• Prüfen Sie die gepatchten Versionen auf der Seite des Microsoft Security Response Center, bevor Sie ausrollen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-102870 msrc.microsoft.com
• GitHub Security Advisory GHSA-g27p-qf6j-c96c (dotnet/aspnetcore) github.com
• Microsoft .NET 10.0 update, October 25, 2026 support.microsoft.com
• .NET 10.0.14 release notes github.com
• Red Hat CVE record CVE-2026-102870 access.redhat.com
• dotnet/aspnetcore discussion 69791 (Blazor WebAssembly debugger) github.com
• GitLab advisory for Microsoft.AspNetCore.Components.WebAssembly.Server advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:25.