ASP.NET Core WebUtilities: Denial of Service durch fehlende Ressourcenlimits

Zusammenfassung

ASP.NET-Core-Anwendungen, die das NuGet-Paket Microsoft.AspNetCore.WebUtilities in betroffenen Versionen der Reihe 2.3 verwenden, belegen Ressourcen ohne Limits oder Drosselung. Ein entfernter, nicht authentifizierter Angreifer kann diese Ressourcen erschöpfen und die Anwendung unverfügbar machen. Es ist keine Benutzerinteraktion erforderlich. Das Risiko ist bei älteren Anwendungen, die aus dem Internet erreichbar sind, am höchsten.

Betroffen

• Microsoft.AspNetCore.WebUtilities 2.3.x vor 2.3.14. Der CVE-Eintrag nennt 2.3.12 bis unter 2.3.14, während die Herstellerliste im Advisory-Spiegel 2.3.0 bis 2.3.13 angibt. Den genauen Bereich auf der MSRC-Seite prüfen.
• Unbekannt: ob die Laufzeitpakete für .NET 8.0 bis 11.0 betroffen sind, da der erfasste Advisory-Text dazu keine betroffenen Einträge zeigt.

Behoben in

• Microsoft.AspNetCore.WebUtilities 2.3.14 oder neuer, gemäss dem Advisory-Spiegel von Microsoft.

Umgehung

Unbekannt. In den Quellen ist kein Workaround dokumentiert. Das Update auf 2.3.14 ist die einzige dokumentierte Behebung.

Ausnutzung

• Stand 11. Nov 2026 nicht als ausgenutzt bekannt (OffSeq). Nicht als KEV gelistet (Strix).
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• Kein öffentlicher Proof of Concept gefunden. Dies bedeutet, dass nichts gefunden wurde, nicht dass keiner existiert.

Unsere Empfehlung

• Inventarisieren Sie .NET-Projekte auf Microsoft.AspNetCore.WebUtilities 2.3.x, einschliesslich transitiver Referenzen, die über Microsoft.AspNetCore.Http eingebunden werden.
• Aktualisieren Sie auf Version 2.3.14 oder neuer und erstellen und deployen Sie die Anwendungen anschliessend neu.
• Priorisieren Sie ältere Anwendungen, die aus dem Internet erreichbar sind.
• Überwachen Sie ungewöhnlichen Ressourcenverbrauch und Verfügbarkeitsprobleme.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• GitHub advisory mirror (dotnet/announcements #512) github.com
• November 2026 ASP.NET Core roundup (dotnet/announcements #504) github.com
• OffSeq threat radar entry radar.offseq.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:34.