ASP.NET Core: Rechteerweiterung durch falsche Standardberechtigungen

Zusammenfassung

Falsche Standarddateiberechtigungen in ASP.NET Core erlauben es einem lokalen, berechtigten Benutzer mit niedrigen Rechten, seine Rechte zu erweitern. Die Microsoft-Empfehlung beschränkt das Problem auf Linux-Installationen der Runtime- und Targeting-Pack-Tarballs sowie auf aus dem Quellcode erstellte .NET-Tarballs, der offizielle CVE-Eintrag und einige Drittquellen führen jedoch auch Windows und macOS auf. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Hosts sind hoch. Eine bestätigte Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• Herstellerempfehlung (GHSA-r6pf-x897-gm86): ASP.NET Core 8 und 9 Runtime- und Targeting-Pack-Tarballs für Linux, 8.0.0 bis vor 8.0.33 sowie 9.0.0 bis vor 9.0.22. Aus dem Quellcode erstellte .NET-10.0.1xx-Distributionen für Linux sind ebenfalls betroffen.
• Offizieller CVE-Eintrag (Microsoft als CNA): .NET 8.0 vor 8.0.427, .NET 9.0 vor 9.0.320, .NET 10.0 vor 10.0.403 und .NET-11.0-Previews vor 11.0.100-rc.3, aufgeführt für Linux, macOS und Windows. Dies widerspricht der Herstellerempfehlung und muss auf der MSRC-Seite bestätigt werden.
• Aus dem Quellcode erstellte .NET-Tarballs (Linux): 8.0.100 bis vor 10.0.403-servicing.26523.112.

Behoben in

• ASP.NET Core 8 Runtime- und Targeting-Pack-Tarballs für Linux: 8.0.33 (Herstellerempfehlung); 8.0.427 laut CNA-Eintrag.
• ASP.NET Core 9 Runtime- und Targeting-Pack-Tarballs für Linux: 9.0.22 (Herstellerempfehlung); 9.0.320 laut CNA-Eintrag.
• .NET 10: 10.0.403 laut CNA-Eintrag; der korrigierte, aus dem Quellcode erstellte Linux-Build ist nicht bestätigt.
• Ubuntu 24.04 und 22.04: dotnet8 8.0.133-8.0.33-0ubuntu1~24.04.1 bzw. 8.0.133-8.0.33-0ubuntu1~22.04.1.
• AlmaLinux 9: aspnetcore-runtime-9.0 9.0.22-1.el9_8 (Daten von Drittanbietern, gegen die AlmaLinux-Errata prüfen).

Umgehung

Unbekannt. Es wurde keine Herstellerlösung für einen Workaround gefunden. Die dokumentierte Abhilfe besteht in der Installation der korrigierten Runtime und einem Neustart der Anwendung.

Ausnutzung

• Bewertung des CISA SSVC durch Microsoft: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Öffentlicher Proof-of-Concept-Code: unklar und zwischen den Quellen widersprüchlich; nicht verifiziert.
• EPSS 0,36 % (Perzentil 29), was auf eine geringe vorhergesagte Ausnutzung hinweist.

Unsere Empfehlung

• Inventarisieren Sie Hosts mit .NET oder ASP.NET Core, insbesondere Installationen aus Linux-Tarballs statt aus Distributions- oder Microsoft-Paketen.
• Aktualisieren Sie auf die oben genannten korrigierten Versionen oder auf Paketmanager-Installationen und starten Sie betroffene Anwendungen neu.
• Prüfen Sie Dateibesitz und Berechtigungen tarball-basierter .NET-Installationen.
• Beschränken Sie den lokalen Shell-Zugriff auf betroffenen Hosts, insbesondere auf gemeinsam genutzten Linux-Systemen, bis zur Aktualisierung.
• Bestätigen Sie die betroffene Produkttabelle auf der MSRC-Seite, da die Quellen widersprüchlich sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Ghost-Bx1/DotNet-Tarball-CVE-2026-114148

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-114148 msrc.microsoft.com
• GitHub Advisory GHSA-r6pf-x897-gm86 (dotnet/aspnetcore) github.com
• Microsoft .NET October 2026 out-of-band security updates devblogs.microsoft.com
• Microsoft .NET 10.0 update October 25, 2026 support.microsoft.com
• Ubuntu Security: CVE-2026-114148 ubuntu.com
• OffSeq Radar: .NET 9.0 security update (CVE-2026-114148) radar.offseq.com
• Vulners: CVE-2026-114148 vulners.com
• Feedly: CVE-2026-114148 feedly.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:44.