Microsoft ASP.NET Core: Rechteausweitung durch Race Condition

Zusammenfassung

ASP.NET Core enthält in seinen Autorisierungskomponenten, darunter Blazor AuthorizeRouteView, eine Race Condition (CWE-362). Ein authentisierter Angreifer kann dadurch über das Netzwerk seine Rechte erweitern. Ein veraltetes asynchrones Autorisierungsergebnis kann nach einer Navigation oder einer Änderung des Autorisierungszustands angewendet werden und so die aktuelle [Authorize]-Entscheidung umgehen. Die Ausnutzung setzt ein gültiges Benutzerkonto, eine hohe Angriffskomplexität und präzises Timing voraus. Die NVD vergibt einen CVSS-3.1-Basiswert von 7.5 (Hoch).

Betroffen

• ASP.NET Core 8.0: 8.0.0 bis vor 8.0.32
• ASP.NET Core 9.0: 9.0.0 bis vor 9.0.21
• ASP.NET Core 10.0: 10.0.0 bis vor 10.0.13
• ASP.NET Core 11.0: 11.0.0-preview.1 bis vor 11.0.0-rc.2
• Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.42
• Visual Studio 2026 Version 18.10: 18.10.0 bis vor 18.10.4

Behoben in

• ASP.NET Core 8.0.32
• ASP.NET Core 9.0.21
• ASP.NET Core 10.0.13
• ASP.NET Core 11.0.0-rc.2
• Visual Studio 2022 17.14.42 und Visual Studio 2026 18.10.4 (erste Versionen ausserhalb der betroffenen Bereiche im CVE-Eintrag; nicht unabhängig bestätigt)

Umgehung

In den Quellen wurde keine Workaround gefunden. Microsoft empfiehlt die Installation der korrigierten Versionen.

• Blazor WebAssembly: Microsoft.AspNetCore.Components.Authorization aktualisieren und die Anwendung neu ausrollen.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden. OpenCVE meldet, dass die CVE nicht in der KEV-Liste enthalten ist; der aktuelle KEV-Katalog der CISA wurde nicht geprüft.
• Öffentlicher Proof of Concept: keiner gefunden; Abwesenheit nicht bestätigt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• EPSS-Wert 0.00456 (niedrig).

Unsere Empfehlung

• Alle .NET-Anwendungen identifizieren, die Blazor, AuthorizeView oder AuthorizeRouteView verwenden.
• Auf ASP.NET Core 8.0.32, 9.0.21, 10.0.13, 11.0.0-rc.2 oder neuer sowie auf die korrigierten Visual-Studio-Versionen aktualisieren.
• Aus dem Internet erreichbare Anwendungen mit Benutzerlogin priorisieren.
• Migration von .NET-6- und .NET-7-Anwendungen planen, da kein offizieller Fix verfügbar ist; Ubuntu 22.04 dotnet6 ist ungepatcht.
• Herstellerwarnungen laufend verfolgen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory msrc.microsoft.com
• GitLab Advisory Database (affected and fixed versions) advisories.gitlab.com
• Red Hat CVE page access.redhat.com
• Red Hat Bugzilla record bugzilla.redhat.com
• Ubuntu security tracker ubuntu.com
• OSV record (Ubuntu) osv.dev
• HeroDevs vulnerability directory (third-party, .NET 6 claim unconfirmed) www.herodevs.com
• OpenCVE CVE page app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:02.