ASP.NET Core: Offenlegung von Informationen durch unzureichende Ausgabekodierung

Zusammenfassung

ASP.NET Core in .NET 8, 9, 10 und 11 kann Informationen offenlegen, weil Ausgaben nicht korrekt kodiert oder maskiert werden. Laut der GitHub-Advisory des Herstellers kann ein manipulierter X-Forwarded-Prefix-Header Trennzeichen für Cookie-Pfade einschleusen, sofern Semikolons in den aus PathBase abgeleiteten Cookie-Pfaden nicht prozentkodiert werden. Ein nicht authentifizierter Angreifer aus dem Netzwerk könnte dies ausnutzen, jedoch ist die Angriffskomplexität hoch und eine Benutzerinteraktion erforderlich.

Betroffen

• .NET 8.0 unter Windows, Linux und macOS: 8.0.0 bis vor 8.0.34
• .NET 9.0 unter Windows, Linux und macOS: 9.0.0 bis vor 9.0.23
• .NET 10.0 unter Windows, Linux und macOS: 10.0.0 bis vor 10.0.15
• .NET 11.0 Previews unter Windows, Linux und macOS: 11.0.0-preview.1 bis vor 11.0.0
• Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.45 (gemäss CVE-Eintrag)
• Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4 (gemäss CVE-Eintrag)
• Visual Studio 2026 Version 18.12: Der betroffene Bereich im CVE-Eintrag ist widersprüchlich. Unbekannt.

Behoben in

• .NET 8.0.34
• .NET 9.0.23
• .NET 10.0.15
• .NET 11.0.0
• Visual Studio: korrigierte Builds gemäss Microsoft Security Update Guide. Korrigierter Build für 18.11 nicht unabhängig verifiziert.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Die Behebung erfolgt durch Patchen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Bekanntgabe.
• SANS ISC führt die Schwachstelle als nicht offengelegt und nicht ausgenutzt.
• Kein öffentlicher Proof of Concept gefunden.
• Aufnahme in den CISA-KEV-Katalog nicht verifiziert.

Unsere Empfehlung

• Inventarisieren Sie .NET-Laufzeitumgebungen, SDKs, Visual-Studio-Installationen und ASP.NET-Core-Anwendungen.
• Patchen Sie auf die oben genannten korrigierten Versionen; priorisieren Sie aus dem Internet erreichbare Anwendungen.
• Falls das Patchen verzögert wird, prüfen Sie, ob Reverse Proxys X-Forwarded-Prefix von nicht vertrauenswürdigen Clients weiterleiten und ob PathBase verwendet wird (eigene Empfehlung, nicht durch den Hersteller verifiziert).
• Überwachen Sie NVD und den CISA-KEV-Katalog auf Aktualisierungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-109476 msrc.microsoft.com
• dotnet/announcements #508: Microsoft advisory table github.com
• dotnet/announcements #504: November 2026 ASP.NET Core security updates github.com
• .NET November 2026 servicing updates devblogs.microsoft.com
• GitLab advisory mirror: CVE-2026-109476 advisories.gitlab.com
• OffSeq Radar: CVE-2026-109476 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:33.