Visual Studio und .NET: Stack-based Buffer Overflow führt zu Codeausführung

Zusammenfassung

Microsoft Visual Studio 2026 sowie die .NET-Laufzeitumgebungen 8, 9, 10 und 11 unter Windows enthalten einen Stack-based Buffer Overflow (CWE-121). Ein nicht authentifizierter Angreifer kann über das Netzwerk Code ausführen, benötigt dafür jedoch eine Benutzerinteraktion. Der CVSS-Wert beträgt 8.8 (hoch), und der genaue Auslöser wird in den geprüften Quellen nicht beschrieben. Die Analyse durch die NVD steht noch aus.

Betroffen

• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23
• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 11.0 unter Windows: 11.0.0-preview.1 bis vor 11.0.0
• Microsoft Visual Studio 2026 Version 18.12 (der Versionsbereich im CVE-Eintrag ist unklar: 18.12.0 bis vor 18.12.0; mit MSRC prüfen)

Behoben in

Unbekannt. Die korrigierten Build-Nummern konnten nicht aus primären Quellen bestätigt werden. Die gepatchten Versionen vor der Verteilung im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

• Übergangsmassnahmen (allgemeine Empfehlung, nicht vom Hersteller bestätigt): Visual Studio und .NET-SDKs/Laufzeitumgebungen auf dem neuesten Servicing-Stand halten
• Keine unbekannten Projekte oder Solutions öffnen
• Build-Aktivitäten mit erhöhten Rechten einschränken

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn oder ein öffentlicher Proof of Concept gefunden.
• Gemäss einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt.
• CVSS-Vektor (wie veröffentlicht): Angriff über das Netzwerk, keine Berechtigungen nötig, Benutzerinteraktion erforderlich, vollständige Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit möglich.

Unsere Empfehlung

• Das MSRC-Advisory auf korrigierte Build-Nummern prüfen und die Updates vom November 2026 für Visual Studio und .NET einspielen.
• Entwickler-Arbeitsstationen und Build-Server mit installiertem Visual Studio oder .NET 8 bis 11 inventarisieren.
• Von aussen erreichbare Build-Server zuerst prüfen und einschränken.
• Das MSRC-Advisory auf Updates und bestätigte Korrekturen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-114152 msrc.microsoft.com
• CVE Record CVE-2026-114152 www.cve.org
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• strix.ai: CVE-2026-114152 (third-party, versions unverified) www.strix.ai
• Visual Studio 2026 release notes learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:45.