Microsoft MsQuic: Unzureichende Prüfung des Zertifikat-Hostnamens mit OpenSSL/QuicTLS
Zusammenfassung
MsQuic-Clients mit dem TLS-Backend OpenSSL oder QuicTLS prüfen nicht, ob das Serverzertifikat zum vorgesehenen Zielhostnamen passt. Ein Angreifer auf dem Übertragungsweg kann ein Zertifikat für einen anderen Hostnamen präsentieren und den Server in einem Man-in-the-Middle-Angriff imitieren. Das Schannel-Backend ist nicht betroffen.
Betroffen
- MsQuic vor 2.4.20
- MsQuic 2.5.0 bis vor 2.5.11
- MsQuic 2.6.0 bis vor 2.6.1
- Betroffenes NuGet-Paket: Microsoft.Native.Quic.MsQuic.OpenSSL
- Nur Clients mit dem Backend OpenSSL oder QuicTLS; Schannel ist nicht betroffen
Behoben in
- Aktualisierung auf 2.4.20 (der 2.4-Zweig ist nicht mehr unterstützt; bevorzugt 2.5.11 oder 2.6.1)
- Aktualisierung auf 2.5.11
- Aktualisierung auf 2.6.1
Umgehung
Unbekannt.
Ausnutzung
- Kein öffentlicher Proof of Concept für diese CVE bekannt.
- Nicht als aktiv ausgenutzt bekannt; nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Anwendungen und .NET-Produkte identifizieren, die MsQuic mit dem Backend OpenSSL oder QuicTLS nutzen, einschliesslich des NuGet-Pakets Microsoft.Native.Quic.MsQuic.OpenSSL.
- Je nach Release-Linie auf 2.4.20, 2.5.11 oder 2.6.1 aktualisieren; den 2.4-Zweig verlassen.
- Unter Windows bis zur Aktualisierung nach Möglichkeit Schannel-basierte Builds verwenden.
- Auf Zertifikatswarnungen und unerwartete Serveridentitäten in unsicheren Netzen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-w5f4-fx9m-m4q7 github.com
- MsQuic release v2.6.1 github.com
- MsQuic release v2.5.11 github.com
- MsQuic release v2.4.20 github.com
- Fix hostname validation with OpenSSL/QuicTLS (PR 6274) github.com
- GitLab Advisory for Microsoft.Native.Quic.MsQuic.OpenSSL advisories.gitlab.com
- OSV CVE-2026-105794 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:26.
Referenzen der NVD (12)
- https://github.com/microsoft/msquic/commit/0591586443cc73a2d2cfb679527d91a144b4a412
- https://github.com/microsoft/msquic/commit/508e811370df93e2ad848f5c78347d4fe4f65a91
- https://github.com/microsoft/msquic/commit/90fd45498bf9b506b8556fb407088688474d6c81
- https://github.com/microsoft/msquic/commit/a01333cf7c2659cce0ff03ef3f21e1ff15bb5b83
- https://github.com/microsoft/msquic/pull/6274
- https://github.com/microsoft/msquic/pull/6275
- https://github.com/microsoft/msquic/pull/6276
- https://github.com/microsoft/msquic/pull/6277
- https://github.com/microsoft/msquic/releases/tag/v2.4.20
- https://github.com/microsoft/msquic/releases/tag/v2.5.11
- https://github.com/microsoft/msquic/releases/tag/v2.6.1
- https://github.com/microsoft/msquic/security/advisories/GHSA-w5f4-fx9m-m4q7
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.