ASP.NET Core SignalR: Denial of Service bei der Behandlung von stateful Reconnects

Zusammenfassung

Eine Schwachstelle bei der Ressourcenzuteilung in den SignalR-Bibliotheken von ASP.NET Core erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, einen Denial of Service auszulösen. Clients, die sich in einem bestimmten zustandsbehafteten Zustand neu verbinden, können Broadcasts unbegrenzt blockieren und Ressourcen auf dem Server gebunden halten. Für den Angriff sind keine Anmeldung und keine Benutzerinteraktion nötig, daher kann ein exponierter SignalR-Endpunkt einer öffentlichen Webanwendung direkt angegriffen werden. Die Auswirkung beschränkt sich auf die Verfügbarkeit; Datendiebstahl oder Codeausführung sind nicht angezeigt.

Betroffen

• Microsoft.AspNetCore.SignalR.Common 8.0.0 bis vor 8.0.32
• Microsoft.AspNetCore.SignalR.Common 9.0.0 bis vor 9.0.21
• Microsoft.AspNetCore.SignalR.Common 10.0.0 bis vor 10.0.13
• Microsoft.AspNetCore.SignalR.Common 11.0.0-preview.5 bis vor 11.0.0-rc.2 (gemäss GitLab-Advisory-Datenbank, nicht in den CNA-Daten aufgeführt)
• Microsoft.AspNetCore.SignalR.Core 1.0.0 bis vor 1.2.14 (gemäss CNA-Daten)
• Visual Studio 2022 Version 17.14.0 bis vor 17.14.42
• Visual Studio 2026 Version 18.10.0 bis vor 18.10.4

Behoben in

• Microsoft.AspNetCore.SignalR.Common 8.0.32, 9.0.21, 10.0.13 und 11.0.0-rc.2
• Microsoft.AspNetCore.SignalR.Core 1.2.14 (Version laut Drittanbieter-Datenbanken; nicht auf der Microsoft-Advisory-Seite bestätigt, in MSRC prüfen)
• Visual Studio 2022 17.14.42 und Visual Studio 2026 18.10.4
• Patch-Option von Microsoft: .NET 8 Runtime 8.0.32 oder SDK 8.0.426; .NET 10 Runtime 10.0.13 oder SDK 10.0.402; .NET 11 Runtime 11.0.0-rc.2 oder SDK 11.0.100-rc.2. Anschliessend Anwendungen neu starten.

Umgehung

• Keine Workaround-Massnahme des Herstellers bekannt. Microsoft empfiehlt das Einspielen des Patches.
• Übergangsmassnahme (eigene Analyse, keine Herstellerempfehlung, Wirksamkeit nicht verifiziert): Exposition der SignalR-Endpunkte über einen Reverse Proxy oder eine WAF mit Verbindungs- und Ratenlimiten reduzieren und auf Ressourcenerschöpfung überwachen.

Ausnutzung

• Microsoft stuft die Ausnutzung als 'Less Likely' ein und die Schwachstelle als nicht öffentlich bekannt.
• Tenable: Es sind keine bekannten Exploits verfügbar.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• EPSS: 0.0123.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept und kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Aus dem Internet erreichbare ASP.NET-Core-Anwendungen mit SignalR identifizieren und priorisieren.
• SignalR-Pakete beziehungsweise die .NET Runtime/SDK auf die gepatchten Versionen aktualisieren und die Anwendungen neu starten.
• Visual Studio 2022 und 2026 auf Entwickler-Arbeitsplätzen aktualisieren.
• Die Fixversion von SignalR.Core im MSRC-Eintrag überprüfen.
• Bis zum Patch Verbindungen und Anfrageraten zu SignalR-Endpunkten begrenzen und auf Ressourcenerschöpfung überwachen.
• Einspielen im nächsten regulären Wartungsfenster, bei öffentlich erreichbaren Anwendungen mit Echtzeitfunktionen früher.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft MSRC Security Update Guide msrc.microsoft.com
• GitHub ASP.NET Core advisory discussion github.com
• GitLab advisory database (version ranges) advisories.gitlab.com
• CNA data (Visual Studio versions) vulners.com
• Vulners MSCVE entry vulners.com
• Tenable plugin 366548 www.tenable.com
• Red Hat bug 2548786 bugzilla.redhat.com
• Miggo (third-party) www.miggo.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:04.