ASP.NET Core: Denial of Service durch ineffiziente algorithmische Komplexität

Zusammenfassung

ASP.NET Core in .NET 8 (laut CVE-Eintrag auch .NET 9 sowie Visual Studio 2022/2026) enthält eine Schwachstelle durch ineffiziente algorithmische Komplexität (CWE-407). Ein entfernter, nicht authentifizierter Angreifer kann präparierte Anfragen senden, sodass die Anwendung übermässig viele Ressourcen verbraucht und nicht mehr verfügbar ist. Laut Dokumentation sind keine Auswirkungen auf Vertraulichkeit oder Integrität bekannt. Für den Angriff sind keine Berechtigungen und keine Benutzerinteraktion nötig, weshalb internet-exponierte Anwendungen am stärksten gefährdet sind.

Betroffen

• Microsoft .NET 8.0 auf Linux, macOS und Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 auf Linux, macOS und Windows: 9.0.0 bis vor 9.0.0-preview.4.24266.19 (gemäss CVE-Eintrag; Microsofts Servicing-Beitrag nennt nur .NET 8, daher prüfen)
• Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.45
• Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4
• Visual Studio 2026 Version 18.12: Der Bereich im CVE-Eintrag ist unklar; auf der MSRC-Seite prüfen

Behoben in

• .NET 8.0.34 (gemäss Microsoft-Servicing-Informationen und OffSeq)
• Visual Studio 2022 17.14.45
• Visual Studio 2026 18.11.4
• Korrigierte Version für Visual Studio 2026 18.12: Unbekannt.
• Korrigierte Version für .NET 9: Unbekannt; im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenlösung gefunden; das Sicherheitsupdate einspielen.

Ausnutzung

• Gemäss Microsofts Exploitability Index und CISA SSVC ist keine Ausnutzung bekannt (SSVC: Exploitation none, Automatable yes).
• Rapid7 stuft die Ausnutzung als 'Less Likely' ein und führt die CVE als nicht öffentlich bekannt.
• Ein Tracker (OffSeq) erwähnt Beobachtungen über Honeypots mit unklarer Formulierung; dies ist nicht verifiziert.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle .NET-8- und .NET-9-Laufzeitumgebungen, SDKs, Visual-Studio-Installationen und selbst-enthaltenen Anwendungen inventarisieren.
• Zuerst internet-exponierte ASP.NET-Core-Dienste patchen, danach interne.
• NuGet-Pakete und Linux-Container-Images aktualisieren, nicht nur die Laufzeitumgebung; das CVE-spezifische Advisory prüfen.
• Das Supportende von .NET 8 auf der Microsoft-Lifecycle-Seite prüfen; ist es abgelaufen, eine Migration auf eine unterstützte .NET-Version planen.
• Web-Anwendungen und APIs auf ungewöhnlichen Ressourcenverbrauch und Anfragevolumen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-109478 msrc.microsoft.com
• CVE.org record CVE-2026-109478 www.cve.org
• Microsoft .NET November 2026 servicing updates devblogs.microsoft.com
• dotnet/announcements issue 504 (consolidated November announcement) github.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva KB 5135243 senserva.com
• OffSeq Radar: CVE-2026-109478 radar.offseq.com
• Windows Forum: .NET 8 and 9 end of support windowsforum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:03.