ASP.NET Core: Denial of Service durch ineffizienten Algorithmus in der Validierung

Zusammenfassung

Eine Schwachstelle in ASP.NET Core erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, einen Denial of Service auszulösen. Angreifer-kontrollierte Sammlungen können nach dem Trennen der Client-Verbindung hohe CPU-Last verursachen, betroffen ist nur die Verfügbarkeit. Der CVE-Eintrag nennt betroffene .NET-11-Versionen unter Linux, macOS und Windows, das Paket Microsoft.Extensions.Validation sowie Visual Studio 2026 Version 18.12.

Betroffen

• Microsoft .NET 11.0 (11.0.0-preview.1 bis vor 11.0.0) unter Linux, macOS und Windows
• Microsoft.Extensions.Validation (11.0.0-rc.1.26425.128 bis vor 11.0.0)
• Visual Studio 2026 Version 18.12: Bereich im CVE-Eintrag unklar, im MSRC-Advisory prüfen

Behoben in

• .NET 11.0.0 und Microsoft.Extensions.Validation 11.0.0 (aus dem CVE-Eintrag abgeleitet; genaue gepatchte Versionen im MSRC-Advisory bestätigen)
• Visual Studio 2026 18.12: korrigierte Version unbekannt, im MSRC-Advisory prüfen

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
• Nicht in der CISA-KEV-Liste; OffSeq: nicht als ausgenutzt bekannt
• Kein öffentlicher Proof of Concept gefunden; Rapid7: Ausnutzung weniger wahrscheinlich

Unsere Empfehlung

• Anwendungen mit .NET 11, das Paket Microsoft.Extensions.Validation und Visual-Studio-18.12-Installationen identifizieren
• Prüfen, ob diese Anwendungen Minimal APIs mit Validierung nutzen und aus dem Internet erreichbar sind
• Die gepatchten Pakete laut MSRC-Advisory einspielen, danach neu starten und neu ausrollen; Internet-exponierte APIs priorisieren
• Antwortzeiten und CPU-Auslastung der betroffenen Dienste überwachen
• Systeme mit .NET 8, 9 oder 10 sind im genannten Umfang nicht betroffen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118749 msrc.microsoft.com
• CVE.org record CVE-2026-118749 www.cve.org
• .NET announcements issue 505 (advisory mirror) github.com
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:34.