Microsoft .NET: Remote Code Execution in WPF-Runtime über manipuliertes XPS-Dokument

Zusammenfassung

Microsoft .NET enthält eine Schwachstelle für Remote Code Execution in der WPF-Runtime (Microsoft.WindowsDesktop.App.Runtime), die nur unter Windows verfügbar ist. Laut Microsoft kann die Hyperlink-Navigation in XPS-Dokumenten URI-Einschränkungen umgehen und ein vom Angreifer kontrolliertes ObjectDataProvider-Objekt erreichen. Ein Angreifer benötigt dafür, dass ein Benutzer ein manipuliertes XPS-Dokument in einer WPF-Anwendung öffnet und einem Link darin folgt; dies kann zur Codeausführung mit den Rechten des Benutzers führen. Die NVD-Beschreibung (Netzwerk, keine Benutzerinteraktion) weicht von Microsofts Darstellung ab, daher wird hier die Beschreibung von Microsoft verwendet.

Betroffen

• .NET 8.0.0 bis vor 8.0.32 - .NET 9.0.0 bis vor 9.0.21 - .NET 10.0.0 bis vor 10.0.13 - .NET 11.0.0-preview.1 bis vor 11.0.0-rc.2 - .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 und 4.8.1 (betroffene Builds gemäss CVE-Eintrag von Microsoft) - Visual Studio 2022 Version 17.14 vor 17.14.42 - Visual Studio 2026 Version 18.10 vor 18.10.4 - .NET 6 (End of Life): von Microsoft nicht bewertet; eine Drittquelle meldet, dass es betroffen ist

Behoben in

• .NET 8.0.32 - .NET 9.0.21 - .NET 10.0.13 - .NET 11.0.0-rc.2 - Visual Studio 2022 17.14.42 und Visual Studio 2026 18.10.4 - .NET Framework: Sicherheitsupdates vom 13. Oktober 2026 (KB5127694 für Windows 11 26H2, KB5128927 für Windows Server 2012 R2); exakte Build-Nummern nicht verifiziert - .NET 6: Kein Fix durch Microsoft; laut Drittquelle nur über einen kostenpflichtigen Build mit erweitertem Support

Umgehung

Keine Workaround-Massnahme des Herstellers bekannt. Das Einspielen von Patches ist die vorgesehene Behebung. Übergangsmassnahme (nicht vom Hersteller): XPS-Dateien und Links aus nicht vertrauenswürdigen Quellen in WPF-Anwendungen nicht öffnen. Eigenständige Anwendungen, die eine eigene Runtime mitliefern, müssen neu erstellt oder neu verteilt werden, da Betriebssystem-Patches diese nicht aktualisieren.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total - Exploitability-Kennzeichnung von Microsoft: in den geprüften Quellen nicht bestätigt - Öffentlicher Proof of Concept: bei den durchgeführten Recherchen nicht gefunden - EPSS: 0.00913 (etwa 0,9 %)

Unsere Empfehlung

• .NET 8, 9 und 10 Runtimes, .NET Framework und Visual Studio auf die oben genannten Fixversionen aktualisieren; Arbeitsstationen mit WPF-Anwendungen und Visual Studio zuerst priorisieren - Eigenständige oder herstellerseitige WPF-Anwendungen mit eigener .NET-Runtime identifizieren und beim Hersteller Updates anfordern oder diese neu erstellen - .NET-6-Installationen ersetzen oder isolieren, da kein Microsoft-Fix verfügbar ist - Das Öffnen von XPS-Dateien und Links aus nicht vertrauenswürdigen Quellen (E-Mail-Anhänge, Downloads) auf Arbeitsstationen einschränken - Auf Anzeichen einer Ausnutzung achten und die Exploit-Quellen erneut prüfen, da sich der Proof-of-Concept-Status ändern kann

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-70174 msrc.microsoft.com
• Microsoft .NET advisory (dotnet/announcements) github.com
• GitLab advisory mirror (GHSA) for Microsoft.WindowsDesktop.App.Runtime advisories.gitlab.com
• HeroDevs vulnerability directory entry www.herodevs.com
• Visual Studio 2026 release notes learn.microsoft.com
• Microsoft .NET Framework update KB5127694 (Windows 11 26H2) support.microsoft.com
• Microsoft .NET Framework update KB5128927 (Windows Server 2012 R2) support.microsoft.com
• OpenCVE entry (CISA SSVC data) app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:54.