Microsoft .NET Aspire: Lokale Rechteausweitung durch Offenlegung sensibler Daten

Zusammenfassung

Microsoft .NET Aspire fügt in den NuGet-Paketen Aspire.Hosting und Aspire.Hosting.AppHost sensible Informationen in gesendete Daten ein. Ein berechtigter lokaler Angreifer kann dies nutzen, um seine Rechte zu erweitern. Für den Angriff sind Benutzerinteraktion und eine geänderte Scope nötig, der CVSS-Basiswert beträgt 7.5. Die Schwachstelle ist nicht aus dem Internet erreichbar und betrifft vor allem Entwickler-Arbeitsstationen, gemeinsam genutzte Entwicklungsserver und Build-Systeme, auf denen Aspire-AppHost-Projekte laufen.

Betroffen

• Aspire.Hosting 13.6.4 vor 13.6.5
• Aspire.Hosting.AppHost 13.6.4 vor 13.6.5
• Projekte, die diese Pakete implizit über Aspire.AppHost.Sdk mit einer Version vor 13.6.5 erhalten

Behoben in

• Aspire.Hosting und Aspire.Hosting.AppHost auf 13.6.5 oder höher aktualisieren
• Die Referenz auf Aspire.AppHost.Sdk auf 13.6.5 oder höher anheben, falls die Pakete über das SDK kommen
• Ein Update der .NET-Runtime, des SDK, der Aspire CLI oder des eigenständigen Dashboards ersetzt die Hosting-Pakete nicht

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround- oder Mitigationsmassnahme dokumentiert. Die einzige veröffentlichte Behebung ist das Update auf 13.6.5.

Ausnutzung

• Einschätzung der Ausnutzbarkeit durch Microsoft: Exploitation Less Likely
• Öffentlich bekannt gemacht: Nein
• Zum Zeitpunkt der Recherche nicht als ausgenutzt bekannt und nicht im CISA-KEV-Katalog
• Kein öffentlicher Proof of Concept bestätigt
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total

Unsere Empfehlung

• Aspire.Hosting und Aspire.Hosting.AppHost auf Entwickler-Arbeitsstationen, gemeinsam genutzten Entwicklungsservern und CI-Runnern auf 13.6.5 oder höher aktualisieren
• Projektdateien und wiederhergestellte Abhängigkeitsgraphen prüfen, einschliesslich transitiver Referenzen und der Versionen von Aspire.AppHost.Sdk
• Die Aktualisierung nach dem Wiederherstellen der Pakete verifizieren
• Priorität: mittel, da der Angriff lokal erfolgt und mehrere Bedingungen erfüllt sein müssen; Produktivsysteme sind nur betroffen, wenn dort Aspire-AppHost-Projekte laufen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-120006 msrc.microsoft.com
• CVE Record CVE-2026-120006 www.cve.org
• GitHub pull request scalar/scalar #10972 github.com
• Strix CVE details CVE-2026-120006 www.strix.ai
• Offseq Radar threat entry CVE-2026-120006 radar.offseq.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:22.