ASP.NET Core: Denial of Service durch fehlende Speicherfreigabe

Zusammenfassung

ASP.NET Core, das Web-Framework der .NET-Plattform, enthält eine Schwachstelle, bei der Ressourcen nicht freigegeben werden (CWE-401). Ein nicht authentifizierter Angreifer im Netzwerk kann Ressourcen erschöpfen und betroffene Dienste unverfügbar machen. Gemäss CVSS-Vektor sind nur die Verfügbarkeit, nicht die Vertraulichkeit oder Integrität betroffen. Der Microsoft-CVE-Eintrag nennt Windows-Installationen von .NET 8, 9 und 10, Visual-Studio-Versionen und das Paket Microsoft.AspNetCore.Server.HttpSys.

Betroffen

• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23
• Microsoft Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.45
• Microsoft Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4
• Microsoft Visual Studio 2026 Version 18.12: 18.12.0 (betroffener Bereich im CVE-Eintrag leer, unverifiziert)
• Microsoft.AspNetCore.Server.HttpSys: 2.3.10 bis vor 2.3.14
• Plattformumfang: Windows gemäss Microsoft-Eintrag; Drittquellen nennen zusätzlich Linux und macOS, was unbestätigt ist

Behoben in

• Microsoft .NET 8.0: 8.0.34
• Microsoft .NET 9.0: 9.0.23
• Microsoft.AspNetCore.Server.HttpSys: 2.3.14
• Microsoft .NET 10.0: 10.0.15 (abgeleitet aus dem CVE-Eintrag, unverifiziert)
• Visual Studio 2022 17.14, 2026 18.11 und 2026 18.12: korrigierte Versionen unverifiziert, im Microsoft-Advisory prüfen

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine aktive Ausnutzung gefunden.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Offenlegung.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• Laut einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt; nicht direkt geprüft.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Inventarisieren Sie .NET-8-, 9- und 10-Laufzeiten, SDKs, Visual-Studio-Installationen und ASP.NET-Core-Anwendungen, inklusive NuGet-Paketverweisen.
• Patchen Sie zuerst aus dem Internet erreichbare Windows-Server mit ASP.NET-Core-Workloads, inklusive IIS und HttpSys-basierter Dienste.
• Aktualisieren Sie die Laufzeit und die NuGet-Pakete der Anwendung; ein reines Laufzeit-Update aktualisiert eigenständige Paketverweise unter Umständen nicht.
• Bestätigen Sie die korrigierten Versionen für .NET 10 und Visual Studio im Microsoft-Advisory, bevor Sie ausrollen.
• Überwachen Sie Speichernutzung und Dienstverfügbarkeit auf betroffenen Systemen, um Angriffe zu erkennen; dies ersetzt das Patchen nicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-114154 msrc.microsoft.com
• GitHub dotnet/announcements #513 github.com
• GitHub dotnet/announcements #504 github.com
• Microsoft .NET Blog: November 2026 servicing updates devblogs.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix: CVE-2026-114154 www.strix.ai
• Senserva KB5135243 senserva.com
• Mallory: CVE-2026-114154 summary mallory.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:48.