Microsoft .NET SDK: Lokale Rechteausweitung durch TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use-Race-Condition im Tooling dotnet-watch des .NET SDK, einschliesslich des Pakets Microsoft.DotNet.HotReload.Watch.Aspire, erlaubt einem lokalen Angreifer, auf Linux und macOS seine Rechte zu erhöhen. Der Angreifer muss eine temporäre Solution-Datei, die dotnet-watch bei einem späteren Build verwendet, ersetzen oder verändern können; der Angriff ist von hoher Komplexität und erfordert eine Benutzerinteraktion. Für die Ausnutzung ist ein authentifiziertes lokales Konto nötig; ein Angriffsvektor über das Netzwerk ist nicht bekannt. Eine Ausnutzung oder ein öffentlicher Proof-of-Concept wurde nicht gemeldet.

Betroffen

• Microsoft .NET 10.0 SDK auf Linux und macOS: 10.0.0 bis vor 10.0.404 (CNA-Eintrag)
• Microsoft .NET 11.0 SDK auf Linux und macOS: 11.0.0-preview.1 bis vor 11.0.100 (CNA-Eintrag)
• Microsoft.DotNet.HotReload.Watch.Aspire: 10.0.300 bis vor 11.0.100 (CNA-Eintrag)
• Hinweis: Das GitLab-Advisory nennt für das Aspire-Paket und die .NET-11-Preview-Builds abweichende Anfangsversionen. Die genauen Bereiche sind auf der MSRC-Seite zu bestätigen.

Behoben in

• .NET SDK 10.0.404
• .NET SDK 11.0.100
• Auf diese Versionen oder neuere aktualisieren.

Umgehung

• Unbekannt. Microsoft stellt einen Patch bereit; eine vom Hersteller dokumentierte Zwischenlösung wurde nicht gefunden.
• Einschätzung der Analysten, keine Herstellerempfehlung: Bis zur Aktualisierung dotnet watch oder Aspire Hot Reload nicht auf gemeinsam genutzten Linux- oder macOS-Hosts ausführen, auf denen nicht vertrauenswürdige lokale Benutzer in temporäre Verzeichnisse schreiben können.

Ausnutzung

• SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
• Rapid7 führt den Ausnutzungsstatus als N/A und die öffentliche Bekanntgabe als Nein.
• Zum Zeitpunkt der Recherche wurden keine öffentlichen Proof-of-Concepts oder Ausnutzungsberichte gefunden.

Unsere Empfehlung

• .NET-SDKs auf Linux- und macOS-Hosts sowie vorhandene Aspire-Projekte inventarisieren (dotnet --list-sdks).
• SDKs im regulären November-Patchzyklus auf 10.0.404, 11.0.100 oder neuer aktualisieren.
• Lokale Konten und gemeinsam genutzte temporäre Verzeichnisse auf Build-Hosts und CI-Runnern einschränken.
• Vor dem Schliessen des Tickets die exakten betroffenen Bereiche auf der MSRC-Seite prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-114155 msrc.microsoft.com
• CVE Record CVE-2026-114155 www.cve.org
• GitHub issue dotnet/sdk #57040 github.com
• GitLab advisory: Microsoft.DotNet.HotReload.Watch.Aspire advisories.gitlab.com
• .NET November 2026 servicing updates (.NET blog) devblogs.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:51.