Microsoft ASP.NET Core: Cross-Site Request Forgery in Blazor Server

Zusammenfassung

Eine Cross-Site Request Forgery (CSRF) Schwachstelle in ASP.NET Core erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Privilegien zu erweitern. Betroffen ist der Blazor-Server-Circuit-Endpunkt, der laut den Quellen des Herstellers eine Cross-Site-Anfrage akzeptieren kann, die die authentifizierte Session eines Opfers an einen vom Angreifer kontrollierten Circuit bindet. Für die Ausnutzung muss ein Opfer mit aktiver authentifizierter Session eine vom Angreifer kontrollierte Seite aufrufen (CVSS UI:R, AC:H).

Betroffen

• .NET 11 unter Linux, macOS und Windows: gemäss CVE-Eintrag 11.0.0-preview.1 bis vor 11.0.0. Der GitHub/GitLab-Advisory-Spiegel nennt 11.0.0-preview.6.26359.118 bis vor 11.0.0. Dieser Widerspruch ist ungelöst; auf MSRC prüfen.
• Visual Studio 2026 Version 18.12: 18.12.0 gemäss CVE-Eintrag. Ungelöst, auf MSRC prüfen.
• .NET 8, 9 und 10: Keine Hinweise auf Betroffenheit gefunden, aber keine explizite Aussage 'nicht betroffen'.

Behoben in

• .NET 11.0.0 oder höher.
• Visual Studio 2026 18.12: Korrigierte Version unbekannt, auf MSRC prüfen.

Umgehung

Unbekannt. Microsoft dokumentiert keinen Workaround; der Hersteller empfiehlt ein Update.

• Nicht verifizierter Vorschlag eines Drittanbieters: Anfragen mit einem Sec-Fetch-Site-Header, der auf cross-site oder none gesetzt ist, ablehnen. Dies ist nicht durch den Hersteller bestätigt und kann legitime Abläufe stören, daher zuerst testen.

Ausnutzung

• Nicht im Known-Exploited-Vulnerabilities-Katalog der CISA aufgeführt; keine Hinweise auf aktive Ausnutzung gefunden.
• Öffentlicher Proof of Concept: unbekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Installationen von .NET 11 Preview oder RC sowie Visual Studio 2026 18.12 inventarisieren.
• Auf .NET 11.0.0 oder höher aktualisieren und selbstständige Anwendungen neu deployen, da sie ihre eigene Laufzeitumgebung enthalten.
• Aus dem Internet erreichbare Blazor-Server-Anwendungen mit angemeldeten Benutzern priorisieren.
• Prüfen, ob andere ASP.NET-Core-Advisories vom November 2026 den eigenen Stack betreffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-109481 msrc.microsoft.com
• CVE Record CVE-2026-109481 (CNA: Microsoft) www.cve.org
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• dotnet announcements issue 504 github.com
• GitLab advisory mirror: microsoft.aspnetcore.app.runtime.osx-x64 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:04.