ASP.NET Core: Denial of Service durch fehlende Speicherfreigabe

Zusammenfassung

ASP.NET Core enthält eine Schwachstelle, die als fehlende Freigabe von Speicher nach Ablauf der effektiven Lebensdauer (CWE-401) eingestuft ist. Gemäss der Microsoft-Sicherheitsmitteilung kann die Redis-Skalierung von SignalR Gruppenentfernungen mit abweichender Gross-/Kleinschreibung fehlerhaft verarbeiten und Subskriptionen in einem Zustand belassen, der eine dauerhafte Ressourcenverstärkung erlaubt. Ein entfernter, nicht authentifizierter Angreifer kann Serverressourcen erschöpfen und einen Denial of Service auslösen, während Vertraulichkeit und Integrität nicht betroffen sind. Der CVSS-3.1-Basiswert beträgt 7.5 (hoch).

Betroffen

• Microsoft.AspNetCore.SignalR.StackExchangeRedis: 8.0.0-preview.1.23112.2 bis 8.0.33, 9.0.0-preview.1.24081.5 bis 9.0.22, 10.0.0-preview.1.25120.3 bis 10.0.14, 11.0.0-preview.1.26104.118 bis 11.0.0-rc.3.26522.148
• Microsoft .NET 8.0, 9.0, 10.0 und 11.0 Runtime unter Linux, Mac OS und Windows (offizieller CVE-Eintrag: 8.0.0 bis vor 8.0.34, 9.0.0 bis vor 9.0.23, 10.0.0 bis vor 10.0.15, 11.0.0-preview.1 bis vor 11.0.0)
• Visual Studio 2022 17.14 und Visual Studio 2026 18.11 (nicht verifiziert; der Bereich 18.12 im CVE-Eintrag ist intern widersprüchlich)

Behoben in

• Microsoft.AspNetCore.SignalR.StackExchangeRedis: 8.0.34, 9.0.23, 10.0.15, 11.0.0
• .NET Runtime: 8.0.34, 9.0.23, 10.0.15, 11.0.0 (auf der MSRC-Seite überprüfen)

Umgehung

Unbekannt. Es wurde kein offizieller Workaround veröffentlicht. Das Einspielen der korrigierten Versionen ist die praktische Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Inventarisieren Sie .NET-8- bis 11-Anwendungen und NuGet-Abhängigkeiten auf Microsoft.AspNetCore.SignalR.StackExchangeRedis, einschliesslich transitiver Referenzen.
• Aktualisieren Sie die ASP.NET-Core-Runtime und das StackExchangeRedis-Paket auf die korrigierten Versionen und rollen Sie diese neu aus.
• Priorisieren Sie aus dem Internet erreichbare SignalR-Anwendungen mit Redis-Skalierung.
• Überprüfen Sie die Runtime- und Visual-Studio-Bereiche auf der MSRC-Seite und prüfen Sie NVD erneut, sobald die Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-114147 msrc.microsoft.com
• Microsoft .NET announcement issue 509 (advisory summary) github.com
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• Strix: CVE-2026-114147 www.strix.ai
• Senserva knowledge base: CVE-2026-114147 senserva.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Socket: microsoft.aspnetcore.signalr.stackexchangeredis socket.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:51.