Microsoft .NET: Denial of Service durch ineffiziente algorithmische Komplexität

Zusammenfassung

Ineffiziente algorithmische Komplexität in Microsoft .NET 11.0 erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, einen Denial of Service auszulösen. Laut CNA sind .NET 11.0 auf Windows, macOS und Linux sowie System.Text.Json betroffen. Für den Angriff sind keine Berechtigungen und keine Benutzerinteraktion nötig, und laut CNA-Vektor ist nur die Verfügbarkeit betroffen. Der CVSS-Wert 5.3 stammt aus dem CNA-Datensatz, die NVD-Analyse stand zum Zeitpunkt der Erstellung noch aus.

Betroffen

• Microsoft .NET 11.0 auf Linux installiert: 11.0.0-preview.1 bis < 11.0.0
• Microsoft .NET 11.0 auf macOS installiert: 11.0.0-preview.1 bis < 11.0.0
• Microsoft .NET 11.0 auf Windows installiert: 11.0.0-preview.1 bis < 11.0.0
• Microsoft System.Text.Json: NOT_YET_AVAILABLE bis < 11.0.0
• Ältere .NET-Versionen (zum Beispiel .NET 8 und 9): nicht bestätigt, Microsoft-Advisory prüfen

Behoben in

Unbekannt. Die korrigierten Versionsnummern waren in den geprüften Quellen nicht verfügbar. Die gepatchten Versionen sind im Microsoft Security Update Guide zu finden.

Umgehung

Unbekannt. Es wurde keine Workaround gefunden; das Einspielen des Microsoft-Updates ist die vorgesehene Massnahme.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt.
• SANS ISC und Rapid7 führen die Schwachstelle als nicht öffentlich bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle .NET-Runtimes und SDKs auf Servern, in Containern, Build-Images sowie auf Linux- und macOS-Hosts inventarisieren.
• Microsoft-Updates für die betroffenen .NET-11-Pakete einspielen, sobald die korrigierten Versionen auf der MSRC-Seite bestätigt sind.
• Aus dem Internet erreichbare .NET-11-Anwendungen priorisieren, zum Beispiel Web-APIs und Portale.
• Auf Änderungen des Ausnutzungsstatus und auf öffentliche Proofs of Concept achten.
• Die widersprüchlichen CVSS-Werte beachten (Rapid7 nennt 6.5) und die NVD nach Abschluss der Analyse prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-120796 msrc.microsoft.com
• dotnet announcements: November 2026 .NET runtime security update github.com
• dotnet announcements: CVE-2026-120796 guidance github.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• SANS ISC: Patch Tuesday diary isc.sans.edu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:27.