Visual Studio und .NET: Heap-basierter Pufferüberlauf ermöglicht Codeausführung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Visual Studio 2026 und in den .NET-Laufzeitumgebungen 8, 9, 10 und 11 unter Windows ermöglicht einem nicht autorisierten Angreifer aus dem Netzwerk die Ausführung von Code. Der CVSS-Vektor erfordert eine Benutzerinteraktion (UI:R), sodass ein Angriff voraussichtlich das Öffnen unsicherer Inhalte oder die Nutzung einer betroffenen Anwendung durch einen Benutzer voraussetzt. Der genaue Auslöser ist im öffentlichen Eintrag nicht beschrieben, und CISA SSVC stuft die Schwachstelle als nicht automatisierbar ein.

Betroffen

• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23
• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 11.0 unter Windows: 11.0.0-preview.1 bis vor 11.0.0
• Microsoft Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4 (nicht verifiziert)
• Microsoft Visual Studio 2026 Version 18.12: betroffener Bereich laut CVE-Eintrag, exakte korrigierte Version unbekannt

Behoben in

• .NET 8.0: 8.0.34 (laut CVE-Eintrag)
• .NET 9.0: Unbekannt.
• .NET 10.0: 10.0.15 (laut Sekundärquellen, mit MSRC abzugleichen)
• .NET 11.0: 11.0.0 (laut Sekundärquellen, mit MSRC abzugleichen)
• Visual Studio 2026 18.11: 18.11.4 (von einem Drittanbieter-Aggregator gemeldet, nicht verifiziert)
• Visual Studio 2026 18.12: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround gefunden. Das Aktualisieren ist die praktische Massnahme.

Ausnutzung

• Kein öffentlicher Proof-of-Concept oder Exploit gefunden.
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; der aktuelle Katalog wurde nicht geprüft.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.

Unsere Empfehlung

• Visual Studio 2026 und die betroffenen .NET-Laufzeitumgebungen auf Entwickler-Arbeitsplätzen und Windows-Servern im nächsten regulären Zyklus patchen.
• Öffentlich erreichbare .NET-Dienste und Server priorisieren.
• Bis zum Patch keine unsicheren Projekte, Solutions oder Dateien in Visual Studio öffnen.
• Im MSRC-Advisory die exakten korrigierten Versionen je Produkt prüfen.
• Installierte .NET-Laufzeitumgebungen und Visual-Studio-Versionen inventarisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-114158 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• GitHub PR #611 (.NET 10.0.15 update) github.com
• GitHub PR #229 (.NET SDK 11.0.100 update) github.com
• Strix CVE overview (third-party, unverified) www.strix.ai
• .NET November 2026 servicing updates (mirror) rssfeedtelegrambot.bnaya.co.il

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:42.