ASP.NET Core: Rechteausweitung über falschen LDAP-Principal im Negotiate-Handler

Zusammenfassung

Der Negotiate-Authentifizierungs-Handler (Microsoft.AspNetCore.Authentication.Negotiate) in ASP.NET Core kann Rollen-Claims von einem falschen Verzeichniskonto einem authentifizierten Benutzer zuweisen. Dies geschieht, wenn die LDAP-Claim-Auflösung aktiviert ist und das LDAP-Ergebnis nicht gegen die Kerberos-Principal-SID geprüft wird. Ein Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen auf dem Zielsystem kann dadurch die Rollen eines anderen Kontos erlangen; der CVSS-Wert beträgt 7.5 (hoch), die Angriffskomplexität ist jedoch hoch.

Betroffen

• Microsoft.AspNetCore.Authentication.Negotiate 10.0.0 bis unter 10.0.13 (offizieller CVE-Eintrag)
• Nur Anwendungen mit dem Negotiate-Schema und aktivierter LDAP-Claim-Auflösung (EnableLdap) sind betroffen, laut den von HeroDevs zusammengefassten Angaben zu den Advisory-Details
• Sekundärquellen nennen zusätzlich 8.0.0 bis 8.0.31 und 9.0.0 bis 9.0.20, die im offiziellen CVE-Eintrag nicht aufgeführt sind: unbestätigt
• .NET 6: HeroDevs nennt 6.0.0 bis 6.0.46, Microsoft nennt .NET 6 nicht: unbestätigt
• Visual Studio 2022 17.14.0 bis unter 17.14.42 und Visual Studio 2026 18.10.0 bis unter 18.10.4 (offizieller CVE-Eintrag)

Behoben in

• Microsoft.AspNetCore.Authentication.Negotiate 10.0.13 (offizieller CVE-Eintrag)
• Sekundärquellen: 8.0.32 und 9.0.21, unbestätigt gegenüber dem Microsoft-Advisory
• Visual Studio 17.14.42 und 18.10.4 (im offiziellen CVE-Eintrag genannt; die genauen Build-Nummern sind durch keine zweite Quelle bestätigt)
• Linux-Distributionen haben Korrekturen veröffentlicht (zum Beispiel Ubuntu, Red Hat, Amazon Linux, AlmaLinux)
• Die Korrektur liegt im NuGet-Paket, nicht im gemeinsamen Framework: ein reines Runtime-Update behebt die Anwendung nicht

Umgehung

• Das Einspielen des Updates ist die Korrektur. Das Microsoft-Advisory beschreibt in den geprüften Quellen keinen Workaround.
• Prüfen, ob die LDAP-Claim-Auflösung (EnableLdap) aktiviert ist. Anwendungen ohne diese Option sind laut HeroDevs nicht betroffen. Die Deaktivierung ist eine Konfigurationsänderung, die mit den Vorgaben des Herstellers abgestimmt werden sollte.
• Ein Drittanbieter-Aggregator schlägt vor, das Negotiate-Schema zu deaktivieren oder zertifikatsbasierte Authentifizierung zu erzwingen. Dies stammt nicht von Microsoft und muss vor der Verwendung geprüft werden.

Ausnutzung

• CISA KEV: nicht gelistet
• EPSS: unter 1 %
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Kein öffentlicher Proof of Concept in der Recherche gefunden. Das Advisory nennt einen einzelnen Forscher.

Unsere Empfehlung

• Inventar der .NET-Anwendungen erstellen, die Microsoft.AspNetCore.Authentication.Negotiate verwenden, und prüfen, ob die LDAP-Claim-Auflösung aktiviert ist.
• Das NuGet-Paket auf 10.0.13 oder neuer aktualisieren (und für 8.0 und 9.0 auf die Fixversionen, sobald Microsoft diese bestätigt hat), danach die Anwendung neu deployen. Ein reines Runtime-Update genügt nicht.
• .NET-6-Anwendungen identifizieren und einen unterstützten Upgrade-Pfad planen, da .NET 6 nicht mehr unterstützt wird.
• Visual Studio auf Entwicklerrechnern und Build-Servern aktualisieren sowie Paketupdates der Linux-Distributionen einspielen.
• Prüfen, ob eine aus dem Internet erreichbare Anwendung Negotiate verwendet. Das Hauptrisiko besteht in einem Insider oder einem kompromittierten Konto mit niedrigen Berechtigungen, das eine interne Anwendung erreicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70179 msrc.microsoft.com
• GitHub Advisory GHSA-vrrp-6v32-2p8g github.com
• dotnet/announcements issue 458 github.com
• HeroDevs vulnerability directory: CVE-2026-70179 www.herodevs.com
• Ubuntu security: CVE-2026-70179 ubuntu.com
• Red Hat Bugzilla 2548790 bugzilla.redhat.com
• OpenCVE: CVE-2026-70179 app.opencve.io
• Vulners: CVE-2026-70179 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:58.