.NET: Umgehung einer Sicherheitsfunktion in der Negotiate-Authentifizierung

Zusammenfassung

Ein Fehler in der Unix-Negotiate-Authentifizierung der .NET-Laufzeitumgebung führt dazu, dass der Server bei Fehlern offen bleibt: Eine Anfrage wird akzeptiert, obwohl erforderliche Channel-Binding-Informationen fehlen. Ein nicht authentifizierter Angreifer mit Netzwerkposition, um Zugangsdaten weiterzuleiten, und mit Benutzerinteraktion (UI:R) kann die Sicherheitsfunktion umgehen. Der CVSS-3.1-Wert beträgt 6.8 (Mittel). Laut den geprüften Quellen betrifft der Fehler nur .NET-11-Vorabversionen unter Linux und macOS, und es ist keine Ausnutzung bekannt.

Betroffen

• Microsoft .NET 11.0 unter Linux (offizieller CVE-Eintrag: 11.0.0-preview.1 bis unter 11.0.0)
• Microsoft .NET 11.0 unter macOS (offizieller CVE-Eintrag: 11.0.0-preview.1 bis unter 11.0.0)
• Die Ankündigungsspiegelung von Microsoft nennt für Linux die Previews 1-6 und Release Candidates 1-3 sowie für macOS die Previews 1-6; die Angaben zum genauen Bereich widersprechen sich und müssen mit dem MSRC-Advisory abgeglichen werden
• Nicht als betroffen gelistet: .NET 8, .NET 9, .NET 10, Windows

Behoben in

• Aktualisierung auf .NET 11.0.0 oder neuer
• Selbstenthaltende Anwendungen müssen neu erstellt und neu bereitgestellt werden, nicht nur auf Maschinenebene aktualisiert

Umgehung

Unbekannt. Vom Hersteller ist keine Workaround-Lösung dokumentiert. Bis zur Behebung sollte die serverseitige Negotiate-Authentifizierung mit auf Always gesetztem Extended Protection unter Linux und macOS bei Vorabversionen vermieden werden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; CISA SSVC bewertet die Ausnutzung als keine
• Laut den Recherchequellen nicht im CISA-KEV-Katalog gelistet
• Kein öffentlicher Proof-of-Concept gefunden; der Korrekturvorschlag ist öffentlich einsehbar
• Rapid7 bewertet die Ausnutzung als weniger wahrscheinlich

Unsere Empfehlung

• Inventarisierung von .NET-11-Vorabversionen (SDKs und Laufzeitumgebungen) auf Linux- und macOS-Servern, einschliesslich Entwicklungs-, Test- und CI-Systemen
• Alle Arbeitslasten mit .NET-11-Vorabversionen auf .NET 11.0.0 oder neuer migrieren und selbstenthaltende Anwendungen neu erstellen
• Bis zur Behebung serverseitige Negotiate-Authentifizierung mit auf Always gesetztem Extended Protection auf Vorabversionen vermeiden
• Falls keine solchen Systeme existieren, ist die Priorität gering

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118746 msrc.microsoft.com
• .NET announcement issue 498 github.com
• .NET runtime issue 137282 github.com
• .NET runtime pull request 137268 (fix) github.com
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:41.