ASP.NET Core: Unzureichende Authentifizierung ermöglicht Rechteerweiterung

Zusammenfassung

Eine unzureichende Authentifizierung in ASP.NET Core erlaubt einem nicht autorisierten Angreifer aus dem Netzwerk, seine Rechte zu erweitern. Passwort-Zurücksetzungs- und Bestätigungs-E-Mails von Identity können an eine nicht validierte Anfrageadresse statt an die im Benutzerkonto hinterlegte Adresse gesendet werden, was zu einer Übernahme von Konten führen kann. Das Risiko betrifft vor allem öffentlich erreichbare Anwendungen mit den Standard-Identity-UI-Seiten und funktionierendem E-Mail-Versand; die Angriffskomplexität ist hoch und es sind keine Berechtigungen erforderlich.

Betroffen

• Microsoft ASP.NET Core 8.0: 8.0.0 bis vor 8.0.32
• Microsoft ASP.NET Core 9.0: 9.0.0 bis vor 9.0.21
• Microsoft ASP.NET Core 10.0: 10.0.0 bis vor 10.0.13
• Microsoft Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.42
• Microsoft Visual Studio 2026 Version 18.10: 18.10.0 bis vor 18.10.4
• Betroffene Komponenten: Microsoft.AspNetCore.Identity und Microsoft.AspNetCore.Identity.UI
• .NET 6 und .NET 7: Unbekannt, kein Microsoft-Fix gefunden

Behoben in

• ASP.NET Core 8.0.32 oder neuer (.NET 8.0.32 Runtime oder .NET 8.0.426 SDK)
• ASP.NET Core 9.0.21 oder neuer (.NET 9.0.21 Runtime oder .NET 9.0.319 SDK)
• ASP.NET Core 10.0.13 oder neuer (.NET 10.0.13 Runtime oder .NET 10.0.402 SDK)
• Visual Studio 2022 17.14.42 oder neuer; Visual Studio 2026 18.10.4 oder neuer

Umgehung

• Kein offizieller Workaround gefunden. Der Herstellerfix ist das Patch.
• Anwendungen, die die Identity-UI-Seiten in ihren eigenen Quellcode kopiert haben, müssen die Änderung manuell übernehmen.
• Bis zum Patch (eigene Einschätzung, nicht aus einer Quelle): Prüfen, dass Handler für Passwort-Zurücksetzung und Bestätigung E-Mails nur an die im Benutzerkonto hinterlegte Adresse senden.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden; Microsoft führt Öffentlich bekannt: Nein.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Die SSVC-Bewertung von CISA lautet Ausnutzung: keine und automatisierbar: nein.
• KEV-Status nicht bestätigt.

Unsere Empfehlung

• Öffentlich erreichbare Webanwendungen mit .NET 8, 9 oder 10 identifizieren, die ASP.NET Core Identity inklusive Selbstbedienung für das Passwort-Zurücksetzen nutzen.
• Runtime, SDK und Anwendungen auf 8.0.32, 9.0.21 oder 10.0.13 oder neuer aktualisieren und jede Identity.UI-NuGet-Referenz mitziehen.
• Kopierten oder generierten Identity-UI-Code prüfen und manuell korrigieren.
• Datenbank-Collation des Benutzerspeichers prüfen, da unscharfer E-Mail-Vergleich das Risiko erhöht.
• Für nicht mehr unterstützte .NET-Versionen einen Migrationsplan erstellen, da für sie kein Fix bestätigt ist.
• Aktivitäten beim Passwort-Zurücksetzen und Mail-Protokolle auf Auffälligkeiten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-70175 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-70175 msrc.microsoft.com
• Red Hat CVE page: CVE-2026-70175 access.redhat.com
• Red Hat Bugzilla: CVE-2026-70175 bugzilla.redhat.com
• OSV: Ubuntu CVE-2026-70175 osv.dev
• GitLab Advisory: CVE-2026-70175 advisories.gitlab.com
• HeroDev Vulnerability Directory: CVE-2026-70175 www.herodevs.com
• OpenCVE: CVE-2026-70175 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:32.