ASP.NET Core: Umgehung von Sicherheitsfunktionen durch Race Condition

Zusammenfassung

Eine Race Condition (CWE-362) in ASP.NET Core erlaubt einem berechtigten lokalen Angreifer, seine Privilegien zu erhöhen. Microsoft klassifiziert die Schwachstelle offiziell als Umgehung einer Sicherheitsfunktion, während die CVE-Beschreibung und einige Drittquellen von einer lokalen Rechteerweiterung sprechen. Der Angreifer benötigt lokalen Zugriff und niedrige Privilegien, und die Ausnutzung der Race Condition gilt als hohe Komplexität. Betroffen sind vor allem gemeinsam genutzte Windows-Hosts, Build-Agents und Entwicklerarbeitsplätze, nicht direkt Systeme aus dem Internet.

Betroffen

• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23
• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 11.0 unter Windows: 11.0.0-preview.1 bis vor 11.0.0
• Microsoft Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.45
• Microsoft Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4
• Microsoft Visual Studio 2026 Version 18.12: Bereich laut CVE-Eintrag und Aggregatoren unzuverlässig
• Plattformumfang laut CVE-Eintrag: Windows. Drittquellen nennen zusätzlich Linux und macOS für .NET 8 und 9; unbestätigt.

Behoben in

• .NET 8.0: 8.0.34 oder neuer
• .NET 9.0: 9.0.23 oder neuer
• .NET 10.0: 10.0.15 oder neuer
• .NET 11.0: 11.0.0 oder neuer
• Visual Studio 2022 17.14: 17.14.45 oder neuer (laut CVE-Eintrag)
• Visual Studio 2026 18.11: 18.11.4 oder neuer (laut CVE-Eintrag)
• Visual Studio 2026 18.12: Korrigierter Build unbekannt
• Patches wurden am 10. November 2026 mit den .NET-Servicing-Updates veröffentlicht. Versionen vor der Bereitstellung im Microsoft-Advisory prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme des Herstellers identifiziert.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Rapid7 stuft sie als Exploitation Less Likely ein.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Inventar der .NET-8-, 9- und 10-Laufzeitumgebungen und SDKs sowie Visual Studio 2026 auf Windows-Hosts erstellen.
• Gepatchte Builds aus den Servicing-Updates vom November 2026 installieren, zuerst auf Mehrbenutzer-Servern, Build-Agents und Entwicklerrechnern.
• Finale Versionsnummern im Microsoft- oder GitHub-Advisory sowie in der NVD prüfen, da die NVD noch in Analyse war.
• Lokale Anmeldung und Codeausführung auf gemeinsam genutzten Hosts auf vertrauenswürdige Benutzer beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-114157 msrc.microsoft.com
• CVE Record CVE-2026-114157 www.cve.org
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• .NET announcements issue 504 github.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• SANS ISC diary 33508 isc.sans.edu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:47.