Microsoft .NET: Denial of Service durch ineffizienten Algorithmus in XML-Verschlüsselung

Zusammenfassung

Die Microsoft .NET-Laufzeitumgebungen, .NET Framework und Visual Studio enthalten einen ineffizienten Algorithmus in der Komponente für XML-Verschlüsselung (System.Security.Cryptography.Xml und System.Private.Xml). Ein nicht authentifizierter Angreifer im Netzwerk kann präparierte XML-Daten an einen Dienst senden, der XML entschlüsselt oder signiertes XML prüft, wodurch der Dienst nicht mehr verfügbar sein kann. Das Risiko besteht nur, wenn eine Anwendung nicht vertrauenswürdiges XML über diesen Codepfad verarbeitet. Microsoft hat die Korrekturen am 13. Oktober 2026 veröffentlicht.

Betroffen

• .NET 8.0.0 vor 8.0.32
• .NET 9.0.0 vor 9.0.21
• .NET 10.0.0 vor 10.0.13
• .NET 11.0.0-preview.1 vor 11.0.0-rc.2
• .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 und 4.8.1 auf betroffenen Windows-Versionen (per-Version-Liste siehe MSRC-Seite)
• Visual Studio 2022 Version 17.14 vor 17.14.42
• Visual Studio 2026 Version 18.10 vor 18.10.4
• Unverifiziert: .NET 6 (nur von HeroDevs genannt, nicht von Microsoft)

Behoben in

• .NET 8.0.32
• .NET 9.0.21
• .NET 10.0.13
• .NET 11.0.0-rc.2 oder neuer
• .NET Framework: kumulative Windows-Updates vom 13. Oktober 2026 (Builds siehe MSRC-Seite)
• Visual Studio 2022 17.14.42
• Visual Studio 2026 18.10.4
• Linux-Distributionen: korrigierte Pakete gemäss Red Hat und Ubuntu (USN-8942-1)

Umgehung

Unbekannt.

• Im Microsoft-Advisory wurde kein offizieller Workaround ausser dem Patchen gefunden.
• Praktische Massnahme: Anwendungen identifizieren, die nicht vertrauenswürdiges XML über EncryptedXml verarbeiten oder Signaturen mit der XML-Decryption-Transformation prüfen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn in den geprüften Quellen.
• Kein öffentlicher Proof of Concept gefunden. Microsoft nennt vier externe Melder.
• CISA SSVC im CVE-Eintrag: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• EPSS 0.01103 zum Zeitpunkt des Auszugs.

Unsere Empfehlung

• Inventar erstellen: .NET-Laufzeitumgebungen, ASP.NET-Core-Anwendungen, NuGet-Referenzen und Windows-.NET-Framework-Builds.
• Korrigierte Versionen installieren: .NET 8.0.32, 9.0.21, 10.0.13 oder 11.0.0-rc.2 sowie die Windows-Updates vom 13. Oktober 2026. Selbst gebaute Anwendungen neu bauen und neu ausrollen.
• Öffentlich erreichbare Anwendungen priorisieren, die XML über EncryptedXml oder signierte XML-Prüfung verarbeiten, etwa SSO/SAML- oder B2B-XML-Schnittstellen.
• Prüfen, ob .NET-6-Systeme existieren, und den Supportstatus klären, da Microsoft diese Version nicht als betroffen bestätigt hat.
• Auch interne Systeme patchen, da die Auswirkung ein Verlust der Verfügbarkeit ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69651 msrc.microsoft.com
• GitLab Advisory: Microsoft.NETCore.App.Runtime (NuGet) advisories.gitlab.com
• dotnet/runtime issue 135698 github.com
• Red Hat Bugzilla 2548784 bugzilla.redhat.com
• OSV: UBUNTU-CVE-2026-69651 osv.dev
• Microsoft Support: .NET Framework update 13 October 2026 (KB5127696) support.microsoft.com
• Visual Studio 2026 release notes learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:27.