Microsoft .NET: Denial of Service durch Pufferüberlauf im Stack

Zusammenfassung

Ein stackbasierter Pufferüberlauf in der Microsoft .NET-Laufzeitumgebung erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk einen Denial-of-Service-Angriff. Laut Advisory wird eine präparierte Request-Zeile rekursiv verarbeitet und erschöpft den Stack, wodurch der betroffene Prozess abstürzen oder hängen bleiben kann. Der Angriff erfordert nur Netzwerkzugriff auf einen Dienst, der die betroffene Komponente verwendet, etwa HttpListener, und weder Berechtigungen noch Benutzerinteraktion.

Betroffen

• Microsoft .NET 8.0 ab 8.0.0 vor 8.0.34
• Microsoft .NET 9.0 ab 9.0.0 vor 9.0.23
• Microsoft .NET 10.0 ab 10.0.0 vor 10.0.15
• Microsoft .NET 11.0 ab 11.0.0-preview.1 vor 11.0.0
• Der CVE-Eintrag nennt Linux und macOS. Die Recherchenotizen behandeln das Problem plattformübergreifend; die Plattformliste ist im MSRC-Advisory zu überprüfen.
• Selbstständige Anwendungen, die eine eigene Laufzeitumgebung einbetten, sind unabhängig von der installierten Laufzeitumgebung betroffen.

Behoben in

• .NET 8.0.34 oder neuer
• .NET 9.0.23 oder neuer
• .NET 10.0.15 oder neuer
• .NET 11.0.0 oder neuer

Umgehung

Unbekannt. In den geprüften Quellen wurde kein vom Hersteller dokumentierter Workaround gefunden. Die Behebung erfolgt durch Patchen.

• Übergangsmassnahme, falls das Patchen verzögert wird (eigene Empfehlung, nicht aus einer Herstellerquelle): Netzwerkzugriff auf Dienste, die HttpListener verwenden, einschränken.

Ausnutzung

• Es ist nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
• Rapid7 stuft die Ausnutzung als "Exploitation Less Likely" ein.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Alle .NET-8-, -9-, -10- und -11-Laufzeitumgebungen sowie selbstständige Anwendungen inventarisieren.
• Die oben aufgeführten, korrigierten Laufzeitversionen installieren oder die referenzierten Pakete aktualisieren.
• Dienste neu starten und selbstständige Anwendungen nach dem Neuerstellen neu ausrollen, da ein Update der systemweiten Laufzeitumgebung deren eingebettete Kopie nicht ersetzt.
• Internetseitig und partnerseitig erreichbare Dienste, die HttpListener oder selbstständige .NET-Anwendungen verwenden, priorisieren.
• Die Betroffenheit anhand des MSRC-Advisorys überprüfen, da die Versionstabelle dort in den Recherchenotizen nicht bestätigt werden konnte.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-109475 msrc.microsoft.com
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• dotnet/announcements #498 github.com
• dotnet/runtime issue #137283 github.com
• GitLab advisory mirror of Microsoft advisory advisories.gitlab.com
• Strix CVE-2026-109475 www.strix.ai
• OffSeq CVE-2026-109475 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:06.