Microsoft ASP.NET Core: Denial of Service durch unbegrenzte Ressourcenallokation

Zusammenfassung

Eine Schwachstelle in ASP.NET Core erlaubt nicht authentifizierten Angreifern aus dem Netzwerk, Serverressourcen zu erschöpfen und einen Denial-of-Service auszulösen. Laut Research-Notizen reserviert FileBufferingReadStream bei der Verarbeitung von Multipart-Anfragen Puffer vorzeitig, sodass präparierte Multipart-Anfragen den Arbeitsspeicher erschöpfen können. Es werden keine Auswirkungen auf Vertraulichkeit oder Integrität gemeldet, und es ist keine Benutzerinteraktion erforderlich.

Betroffen

• Microsoft ASP.NET Core 8.0: 8.0.0 bis vor 8.0.32
• Microsoft ASP.NET Core 9.0: 9.0.0 bis vor 9.0.21
• Microsoft ASP.NET Core 10.0: 10.0.0 bis vor 10.0.13
• Microsoft Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.42 (Angabe eines Drittanbieter-Trackers, auf MSRC prüfen)
• Microsoft Visual Studio 2026 Version 18.10: 18.10.0 bis vor 18.10.4 (Angabe eines Drittanbieter-Trackers, auf MSRC prüfen)
• .NET 6: Von Microsoft nicht aufgeführt. HeroDevs (Drittanbieter) gibt 6.0.0 bis 6.0.46 als betroffen an. Unbestätigt.

Behoben in

• ASP.NET Core 8.0.32 oder neuer
• ASP.NET Core 9.0.21 oder neuer
• ASP.NET Core 10.0.13 oder neuer
• Visual Studio 2022 17.14.42 oder neuer (auf MSRC prüfen)
• Visual Studio 2026 18.10.4 oder neuer (auf MSRC prüfen)
• .NET 6: Von Microsoft unbekannt. HeroDevs nennt NES für .NET 6.0.47 (kostenpflichtig).

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert. Das Einspielen des Patches ist die genannte Massnahme.

Ausnutzung

• Microsoft: nicht öffentlich bekannt gegeben, nicht ausgenutzt, Ausnutzbarkeitseinschätzung "Exploitation Less Likely"
• CISA KEV: nicht gelistet
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
• EPSS: 0.01056
• Kein öffentlicher Proof-of-Concept in den Suchen gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Alle ASP.NET-Core-Anwendungen und Visual-Studio-Installationen inventarisieren, einschliesslich .NET-6-Anwendungen.
• ASP.NET Core auf 8.0.32, 9.0.21 oder 10.0.13 oder neuer aktualisieren und Visual Studio auf die korrigierten Versionen bringen.
• Aus dem Internet erreichbare Anwendungen mit Formular- oder Upload-Endpunkten priorisieren.
• Bei .NET 6 den Support-Status direkt bei Microsoft klären; auf eine unterstützte Version migrieren oder kostenpflichtigen erweiterten Support prüfen.
• Request- und Formulargrössen am Reverse Proxy oder in Kestrel begrenzen und ungewöhnlichen Upload-Verkehr überwachen. Vor dem Einsatz testen.
• Den NVD-Eintrag prüfen, der noch auf Analyse wartet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide msrc.microsoft.com
• Red Hat Bugzilla bugzilla.redhat.com
• Ubuntu Security Notice ubuntu.com
• GitHub .NET announcement issue 459 github.com
• HeroDevs vulnerability directory www.herodevs.com
• NVD record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:02.