Microsoft .NET: Denial of Service durch unkontrollierte Rekursion in der XML-Verarbeitung

Zusammenfassung

Die .NET-Laufzeitumgebungen und das .NET Framework von Microsoft enthalten eine Schwachstelle durch unkontrollierte Rekursion bei der Verarbeitung von XML-Signaturen und XML-Verschlüsselung (System.Security.Cryptography.Xml und System.Private.Xml). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein tief verschachteltes oder rekursives XML-Dokument senden und den Prozess zum Absturz bringen, was zu einem Denial of Service führt. Das Risiko ist bei öffentlich erreichbaren Anwendungen am höchsten, die XML-Signaturen oder verschlüsseltes XML von externen Parteien annehmen. Eine Verletzung der Vertraulichkeit oder Integrität wird nicht erwartet.

Betroffen

• .NET 8.0.0 bis vor 8.0.32
• .NET 9.0.0 bis vor 9.0.21
• .NET 10.0.0 bis vor 10.0.13
• .NET 11.0.0-preview.1 bis vor 11.0.0-rc.2
• .NET Framework-Versionen gemäss Microsoft-Advisory (mehrere Windows-Builds)
• Self-contained Anwendungen für die betroffenen Versionen
• .NET 6: umstritten, von Microsoft nicht bestätigt; .NET 7 ist End of Life

Behoben in

• .NET 8.0.32 (Runtime), SDK 8.0.426
• .NET 9.0.21 (Runtime), SDK 9.0.319
• .NET 10.0.13
• .NET 11.0.0-rc.2
• .NET Framework: kumulative Updates vom 13. Oktober 2026, z. B. KB5127694 und KB5127696
• Self-contained Anwendungen: nach dem Patchen der Runtime neu kompilieren und neu ausrollen

Umgehung

Unbekannt für ungepatchte Systeme. Microsoft hat keinen offiziellen Workaround dokumentiert. Als Übergangsmassnahme sollte geprüft werden, wo Anwendungen XML aus nicht vertrauenswürdigen Quellen verarbeiten.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn
• Nicht im Katalog CISA KEV aufgeführt
• Kein öffentlicher Proof of Concept gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise

Unsere Empfehlung

• Runtimes und SDKs von .NET 8, 9, 10 und 11 auf die korrigierten Versionen patchen
• Auf Windows-Systemen die kumulativen .NET Framework-Updates vom Oktober 2026 installieren
• Self-contained Anwendungen neu kompilieren und neu ausrollen
• Installationen von .NET 6 und .NET 7 prüfen und deren Upgrade planen
• Öffentlich erreichbare Dienste priorisieren, die XML-Signaturen oder verschlüsseltes XML von externen Parteien verarbeiten
• Abstürze und Neustarts von Anwendungen auf Anzeichen von Missbrauch überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide CVE-2026-58280 msrc.microsoft.com
• Microsoft .NET announcement and advisory copy github.com
• Microsoft KB5127694 .NET Framework update support.microsoft.com
• Microsoft KB5127696 .NET Framework update support.microsoft.com
• Ubuntu security notice CVE-2026-58280 ubuntu.com
• Red Hat CVE record CVE-2026-58280 access.redhat.com
• HeroDevs vulnerability directory CVE-2026-58280 www.herodevs.com
• Rapid7 vulnerability database CVE-2026-58280 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:32.