Telerik UI for ASP.NET Core: Unkontrollierter Ressourcenverbrauch in Aggregation

Zusammenfassung

Telerik UI for ASP.NET Core in den Versionen 2015.1.318 bis 2026.3.811 behalten dynamische Assemblies und Load Contexts bei, wenn serverseitige Aggregationsanfragen wiederholt werden, mit oder ohne Gruppierung. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dies ausnutzen, sofern die Anwendung einen Aggregationsendpunkt ohne Authentifizierung bereitstellt. Der Speicherverbrauch des Prozesses wächst dadurch, bis Ressourcen erschöpft sind und die Anwendung nicht mehr verfügbar ist. Das Deaktivieren der Gruppierung in der clientseitigen Oberfläche verhindert direkte Anfragen mit diesen Deskriptoren nicht.

Betroffen

• Telerik UI for ASP.NET Core 2015.1.318 bis 2026.3.811
• Nur Anwendungen, die den serverseitigen Aggregationsendpunkt ohne Authentifizierung bereitstellen, sind über das Netzwerk angreifbar.

Behoben in

• Telerik UI for ASP.NET Core 2026.3.1015

Umgehung

• Kein Workaround des Herstellers bestätigt. Das Deaktivieren der Gruppierung in der Client-Oberfläche behebt das Problem nicht.
• Provisorische Massnahmen (nicht vom Hersteller): Aggregationsendpunkt auf authentifizierte Benutzer beschränken oder aus dem Internet entfernen, Rate Limiting für diesen Endpunkt einrichten und den Speicherverbrauch überwachen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle ausgenutzt wird; zum Zeitpunkt der Recherche kein Eintrag im CISA-KEV-Katalog gefunden.
• Kein öffentlicher Proof of Concept gefunden; nicht bestätigt.

Unsere Empfehlung

• ASP.NET-Core-Anwendungen mit Telerik-UI-Komponenten inventarisieren, einschliesslich MVC-Installationen (siehe CVE-2026-106137).
• Auf Telerik UI for ASP.NET Core 2026.3.1015 aktualisieren, wo der Aggregationsendpunkt erreichbar ist; Internet-exponierte Anwendungen zuerst.
• Bis zur Aktualisierung den Aggregationsendpunkt auf authentifizierte Benutzer beschränken und Rate Limiting anwenden.
• Speicherverbrauch der Applikationsserver auf kontinuierliches Wachstum überwachen.
• Die Angaben zur Versionsbandbreite beim Hersteller-Advisory überprüfen, da sie aus Drittquellen stammen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Telerik security advisory CVE-2026-106156 www.telerik.com
• Telerik UI ASP.NET Core release history www.telerik.com
• VulDB entry 435885 vuldb.com
• Offseq threat radar CVE-2026-106156 radar.offseq.com
• ComponentSource Telerik UI ASP.NET Core releases www.componentsource.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:24.