Microsoft ASP.NET Core: Rechteerweiterung durch fehlerhafte Autorisierung

Zusammenfassung

ASP.NET Core enthält eine fehlerhafte Autorisierung (CWE-863), durch die ein authentifizierter Angreifer über das Netzwerk seine Rechte erweitern kann. Der CVSS-3.1-Wert beträgt 9.0 (kritisch), mit geändertem Scope sowie hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung ist ein gültiges Konto mit niedrigen Rechten und eine gewisse Benutzerinteraktion nötig, weshalb öffentliche Websites ohne Benutzeranmeldung einem geringeren Risiko ausgesetzt sind, während interne Portale und Webanwendungen mit mehreren Benutzern stärker gefährdet sind.

Betroffen

• Microsoft .NET 8.0 auf Linux, macOS und Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 auf Linux, macOS und Windows: 9.0.0 bis vor 9.0.23
• Microsoft .NET 10.0 auf Linux, macOS und Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 11.0 auf Linux, macOS und Windows: 11.0.0-preview.1 bis vor 11.0.0
• Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.45
• Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4
• Visual Studio 2026 Version 18.12: veröffentlichter Bereich ist leer (18.12.0 bis vor 18.12.0); im Advisory prüfen

Behoben in

• Gemäss CVE-Eintrag sind die ersten korrigierten Versionen .NET 8.0.34, .NET 9.0.23, .NET 10.0.15 und .NET 11.0.0 sowie Visual Studio 17.14.45 und 18.11.4
• Visual Studio 2026 Version 18.12: Unbekannt
• Die genauen Build-Nummern sind vor dem Ausrollen im MSRC-Advisory zu bestätigen

Umgehung

Kein Workaround des Herstellers bekannt. Das Sicherheitsupdate einspielen.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
• In einer begrenzten Recherche wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Die CVE wurde am 10. November 2026 veröffentlicht und wartet noch auf die NVD-Analyse.

Unsere Empfehlung

• Alle Systeme mit ASP.NET Core oder .NET inventarisieren, inklusive IIS-Servern, Linux-Containern und herstellerseitig gelieferten Anwendungen, und deren Versionen erfassen.
• Zuerst .NET 9, 10 und 11 sowie Visual-Studio-Installationen mit den oben genannten korrigierten Versionen aktualisieren.
• Migration weg von .NET 8 planen, da dessen Support am 10. November 2026 endet und dieser Fix nicht mehr erscheint.
• Eigene Autorisierungsrichtlinien und Rollenprüfungen in ASP.NET-Core-Anwendungen überprüfen, insbesondere in internen Mehrbenutzer-Apps.
• Auf Berichte zur Ausnutzung und Herstellerupdates achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-114146 msrc.microsoft.com
• OSS-Eva: .NET 8 end of life www.osseva.io
• Windows Forum: .NET November 2026 updates windowsforum.com
• .NET Blog November 2026 servicing (mirror) rssfeedtelegrambot.bnaya.co.il

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:24.