Microsoft Aspire.Cli: Informationsoffenlegung über Protokolldatei
Zusammenfassung
Die Aspire CLI schreibt während eines Scans durch ihren veralteten MCP-Konfigurationsscanner sensible Informationen in eine Protokolldatei. Ein lokaler Angreifer mit einem Konto mit niedrigen Berechtigungen kann diese Datei auslesen und dabei Informationen wie die Konfiguration eines anderen Benutzers inklusive gespeicherter Zugangsdaten erlangen. Betroffen sind Linux- und macOS-Versionen; der Angriff erfordert eine Benutzerinteraktion.
Betroffen
- Eigenständiges Paket Aspire.Cli ab 13.2.0, vor 13.6.5
- Linux- und macOS-Versionen ab 13.3.0, vor 13.6.5
- npm-Paket @microsoft/aspire-cli ab 13.4.2, vor 13.6.5
- Windows wird von Microsoft nicht als betroffen aufgeführt.
- Der CVE-Eintrag nennt 13.5.4 als Startversion; dies widerspricht der Microsoft-Tabelle, die für die Prüfung massgeblich ist.
Behoben in
- Aspire CLI auf Version 13.6.5 oder neuer aktualisieren.
- Bei Installation als .NET-Tool das Paket Aspire.Cli aktualisieren.
Umgehung
- Microsoft nennt keinen Workaround.
- Unbekannt, ob es neben dem Update eine vom Hersteller bereitgestellte Massnahme gibt.
Ausnutzung
- Microsoft meldet die Schwachstelle als nicht öffentlich bekannt und nicht ausgenutzt; die Ausnutzbarkeit wird als Exploitation Less Likely eingestuft.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Ein Aggregator führt die Schwachstelle nicht im CISA-KEV-Katalog; dies wurde nicht direkt geprüft.
Unsere Empfehlung
- Aspire CLI auf 13.6.5 oder neuer aktualisieren, wo sie auf Linux oder macOS installiert ist; priorisiert auf gemeinsam genutzten Hosts, Terminal-Servern und CI/CD-Runnern.
- Die installierte Version je nach Pakettyp prüfen, da die Advisory unterschiedliche Startversionen auflistet.
- Nach dem Upgrade verbleibende Aspire-Scan-Protokolldateien in gemeinsam genutzten temporären Verzeichnissen löschen.
- Zugangsdaten rotieren, die möglicherweise in einer Protokolldatei gespeichert wurden.
- Priorität für KMU: tief bis mittel. Reine Windows-Umgebungen und Einzelbenutzer-Arbeitsstationen sind weniger gefährdet.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-120792 msrc.microsoft.com
- CVE Record CVE-2026-120792 www.cve.org
- GitHub issue microsoft/aspire #22100 (advisory mirror) github.com
- Strix aggregator entry CVE-2026-120792 www.strix.ai
- CVEreports analysis CVE-2026-120792 cvereports.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.