Telerik UI for ASP.NET MVC: Race Condition und Speicherretention in ClassFactory

Zusammenfassung

Telerik UI for ASP.NET MVC in den Versionen 2012.2.710 bis 2026.3.811 enthält eine Race Condition in ClassFactory, die dynamische Klassen und Assemblies für Aggregatsdeskriptoren erstellt. Dynamische Assemblies werden nicht freigegeben, und das gemeinsam genutzte Dictionary kann bei gleichzeitigen Anfragen beschädigt werden. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dies nur ausnutzen, wenn die Anwendung einen Aggregations-Endpunkt ohne Authentifizierung bereitstellt; dies kann zu hoher CPU- und Speicherauslastung und zu eingeschränkter Verfügbarkeit führen. Der CNA stuft die Schwachstelle mit 8.6 (Hoch) ein, VulDB mit 5.3 (Mittel).

Betroffen

• Progress Telerik UI for ASP.NET MVC 2012.2.710 bis 2026.3.811 (gemäss CVE-Beschreibung)
• Builds zwischen 2026.3.811 und 2026.3.1015 sind in den Quellen nicht eindeutig abgedeckt: Unbekannt, Sicherheitshinweis des Herstellers prüfen

Behoben in

• Version 2026.3.1015 oder neuer

Umgehung

• Kein Workaround des Herstellers gefunden.
• Bis zum Update sicherstellen, dass Aggregations-Endpunkte nicht ohne Authentifizierung oder geeignete Zugriffskontrollen erreichbar sind (abgeleitet von einem Schwesterprodukt, CVE-2026-106156; für MVC prüfen).
• Rate Limiting für betroffene Endpunkte in Betracht ziehen.

Ausnutzung

• Zum Zeitpunkt der Recherche keine bekannte Ausnutzung; nicht im CISA-KEV-Katalog.
• Kein öffentlicher Proof of Concept für diese CVE gefunden.
• VulDB markiert den Eintrag als 0-Day, was den Offenlegungsstatus beschreibt und nicht bestätigte Angriffe.

Unsere Empfehlung

• Einsatz von Telerik UI for ASP.NET MVC in allen Webanwendungen inventarisieren.
• Auf 2026.3.1015 oder neuer aktualisieren, im nächsten Wartungsfenster; bei öffentlich erreichbaren Anwendungen früher.
• Bis dahin prüfen, dass Aggregations-Endpunkte eine Authentifizierung verlangen, und Rate Limiting anwenden.
• CPU- und Speicherauslastung der Webserver auf ungewöhnliches Wachstum überwachen.
• Vor dem Rollout die Liste der betroffenen Builds im Sicherheitshinweis des Herstellers prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Telerik KB: ClassFactory CVE-2026-106137 www.telerik.com
• VulDB entry 435884 vuldb.com
• CVE record mirror (threatint) cve.threatint.com
• OffSeq Radar: CVE-2026-106137 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:24.