Microsoft System.Formats.Cbor (.NET): Denial of Service durch Hash-Flooding

Zusammenfassung

Das NuGet-Paket System.Formats.Cbor von Microsoft, das von .NET verwendet wird, enthält einen Algorithmus mit ineffizienter Komplexität bei der Verarbeitung von CBOR-Map-Schlüsseln. Kollidierende Schlüssel können beim Prüfen der Eindeutigkeit ein Hash-Flooding auslösen. Ein entfernter, nicht authentifizierter Angreifer kann dadurch präparierte CBOR-Daten senden und einen Denial of Service verursachen. Betroffen ist nur die Verfügbarkeit, und die Ausnutzung setzt voraus, dass eine Anwendung unvertrauenswürdige CBOR-Eingaben verarbeitet.

Betroffen

• Microsoft-NuGet-Paket System.Formats.Cbor für .NET 8, 9, 10 und 11 (die Advisory-Tabelle nennt 8.0.0-0 bis vor 8.0.2 sowie die 9.0-Linie bis vor 9.0.24)
• Genaue betroffene Bereiche für die Linien 10.x und 11.x: Unbekannt.

Behoben in

• 8.0-Linie: System.Formats.Cbor 8.0.2
• 9.0-Linie: System.Formats.Cbor 9.0.24 (Runtime 9.0.23 allein behebt die Lücke nicht)
• Linien 10.x und 11.x: Unbekannt. Vor dem Rollout die Sicherheitsmitteilung des Herstellers prüfen.

Umgehung

• Kein Workaround des Herstellers verfügbar. Das Paket aktualisieren.
• Bis zum Patch die Exposition von Diensten reduzieren, die unvertrauenswürdige CBOR-Eingaben verarbeiten (eigene Einschätzung, keine Empfehlung des Herstellers).

Ausnutzung

• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein und nennt keine öffentliche Offenlegung.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Der Melder wird als Anonymous geführt.

Unsere Empfehlung

• Prüfen, ob System.Formats.Cbor direkt oder transitiv referenziert wird (zum Beispiel mit dotnet list package --include-transitive).
• Das Paket auf 8.0.2 oder 9.0.24 aktualisieren sowie auf die bestätigte Korrekturversion für 10.x und 11.x, danach betroffene Anwendungen neu erstellen und neu ausrollen.
• Ein reines Runtime-Update genügt nicht; selbstständige Anwendungen können eine eigene Kopie mitliefern.
• Internetseitige APIs und Gateways priorisieren. Im normalen Patchzyklus einspielen, bei öffentlich erreichbaren Diensten früher.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-118747 msrc.microsoft.com
• CVE Record: CVE-2026-118747 www.cve.org
• .NET announcement issue 501 (advisory table and root cause) github.com
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• OffSeq threat radar: CVE-2026-118747 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:32.