ASP.NET Core: Denial of Service durch unbegrenzte Ressourcenzuweisung

Zusammenfassung

Microsoft ASP.NET Core in .NET 11.0-Vorabversionen erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk einen Denial of Service. Die Schwachstelle liegt in der clientseitigen Validierung des Blazor Static Server-Side Rendering (SSR), die vom Angreifer kontrollierte Daten in einem unbegrenzten Cache speichert und so den Arbeitsspeicher des Servers erschöpfen kann. Gemäss Vektor ist nur die Verfügbarkeit betroffen; Datendiebstahl oder Codeausführung sind nicht angegeben.

Betroffen

• Microsoft .NET 11.0-Vorabversionen ab 11.0.0-preview.1 vor 11.0.0 unter Linux, macOS und Windows (gemäss CNA-Eintrag)
• Microsoft Visual Studio 2026 Version 18.12 (der CNA-Eintrag nennt 18.12.0 bis < 18.12.0, was widersprüchlich ist; genauer Bereich nicht bestätigt)
• .NET 8, 9 und 10 sind in den geprüften Quellen nicht als betroffen aufgeführt

Behoben in

• .NET 11.0 auf Version 11.0.0 oder höher aktualisieren
• Visual Studio 2026 18.12: korrigierte Version unbekannt

Umgehung

• Kein Workaround des Herstellers gefunden.
• Nicht verifiziert: Microsoft dokumentiert eine Opt-out-Option für die clientseitige Validierung bei Static SSR; es ist nicht bestätigt, dass damit der verwundbare Codepfad entfällt, daher vor dem Einsatz testen.
• Allgemein: Rate Limiting und Begrenzung der Request-Grösse auf einem Reverse Proxy oder WAF vor exponierten .NET-11-Anwendungen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Rapid7: Ausnutzung weniger wahrscheinlich, nicht öffentlich bekannt gemacht.
• Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Installationen von .NET-11-Vorabversionen und Visual-Studio-2026-18.12-Instanzen inventarisieren.
• Auf .NET 11.0.0 oder höher aktualisieren, sobald die Version für Ihren Release-Kanal verfügbar ist.
• Build- und Deployment-Pipelines auf .NET-11-Vorabversionen von SDKs und Runtimes prüfen.
• Die Exposition betroffener, aus dem Internet erreichbarer Anwendungen bis zum Patch einschränken.
• Hinweis: VulDB bewertet die Schwachstelle mit 5.3, andere Quellen mit 7.5 (CVSS 3.1).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CVE Program) www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• GitLab advisory mirror (NuGet package) advisories.gitlab.com
• .NET November 2026 servicing updates devblogs.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix CVE-2026-118748 www.strix.ai
• VulDB entry 435145 vuldb.com
• Microsoft Learn: Blazor client-side validation learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:33.