ASP.NET Core: Denial of Service durch Verarbeitung von Multipart-Formularheadern

Zusammenfassung

ASP.NET Core in .NET 8 bis 11 erzwingt bei der Verarbeitung von Multipart-Formulardaten das konfigurierte Limit für die Anzahl der Header nicht, was zu einem unkontrollierten Ressourcenverbrauch führt (CWE-770). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann gezielt manipulierte Multipart-Anfragen senden, um Ressourcen zu erschöpfen und die betroffene Anwendung unverfügbar zu machen. Es sind weder Benutzerinteraktion noch Zugangsdaten nötig, die Auswirkung beschränkt sich auf die Verfügbarkeit. Microsoft meldet keine bekannte Ausnutzung, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Microsoft .NET 8.0 vor 8.0.34 (Windows, Linux, macOS)
• Microsoft .NET 9.0 vor 9.0.23 (Windows, Linux, macOS)
• Microsoft .NET 10.0.0 bis vor 10.0.15 (Windows, Linux, macOS)
• Microsoft .NET 11.0.0-preview.1 bis vor 11.0.0 (Windows, Linux, macOS)
• Visual Studio 2022 Version 17.14 vor 17.14.45
• Visual Studio 2026 Version 18.11 vor 18.11.4
• Visual Studio 2026 Version 18.12: Der betroffene Bereich im CVE-Eintrag ist leer, der genaue Status ist unbekannt.

Behoben in

• .NET 8.0.34
• .NET 9.0.23
• .NET 10.0.15
• .NET 11.0.0
• Visual Studio 2022 17.14.45 und Visual Studio 2026 18.11.4 (laut CVE-Eintrag)
• Visual Studio 2026 18.12: Unbekannt.

Umgehung

Unbekannt. Es wurde keine offizielle Umgehungslösung oder Massnahme veröffentlicht; das Einspielen des Updates ist die einzige dokumentierte Abhilfe.

Ausnutzung

• Aktiv ausgenutzt: Nein (laut Senserva).
• Ausnutzungswahrscheinlichkeit: von Rapid7 als 'Exploitation Less Likely' eingestuft.
• Öffentlicher Proof of Concept: keiner gefunden, was nicht beweist, dass keiner existiert.
• Gemeldet von n0irx (von Microsoft genannt).

Unsere Empfehlung

• Alle .NET-Runtimes und SDKs inventarisieren, einschliesslich eigenständiger Anwendungen, die ihre eigene Runtime mitbringen.
• Auf .NET 8.0.34, 9.0.23, 10.0.15 oder 11.0.0 oder neuer aktualisieren und die Anwendungen anschliessend neu starten und neu bereitstellen.
• Visual Studio 2022 und 2026 auf eine Version aktualisieren, die die Korrektur enthält.
• Internetseitig erreichbare ASP.NET-Core-Anwendungen und APIs, die Multipart-Uploads akzeptieren, priorisieren.
• Verfügbarkeitsprobleme überwachen und nicht vertrauenswürdige Clients als vorübergehende Massnahme ratenbegrenzen, nicht als Ersatz für das Update.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide msrc.microsoft.com
• CVE Record CVE-2026-114149 www.cve.org
• .NET November 2026 servicing updates devblogs.microsoft.com
• Microsoft .NET advisory (announcements issue 511) github.com
• ASP.NET Core fix pull request 70444 github.com
• GitLab advisory mirror CVE-2026-114149 advisories.gitlab.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva CVE-2026-114149 (KB) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:48.