ASP.NET Core: Deadlock in Kestrel ermöglicht Denial of Service

Zusammenfassung

Ein Deadlock in Kestrel, dem in ASP.NET Core integrierten Webserver, kann von einem nicht authentifizierten Angreifer aus dem Netzwerk ausgelöst werden. Der Angreifer sendet manipulierte HTTP/3-Reset- oder Abort-Sequenzen, die die Verbindungsbehandlung blockieren und viele blockierte Threads erzeugen. Wiederholte Anfragen können Serverressourcen erschöpfen und die Anwendung nicht mehr reagieren lassen. Betroffen ist nur die Verfügbarkeit; Anwendungen mit Internetzugang und aktiviertem HTTP/3 haben die höchste Priorität.

Betroffen

• Microsoft ASP.NET Core 8.0.0 bis 8.0.31
• Microsoft ASP.NET Core 9.0.0 bis 9.0.20
• Microsoft ASP.NET Core 10.0.0 bis 10.0.12
• Microsoft Visual Studio 2022 Version 17.14.0 bis 17.14.41
• Microsoft Visual Studio 2026 Version 18.10.0 bis 18.10.3
• .NET 6.0.0 bis 6.0.46: unbestätigt. Ein Drittanbieter meldet eine Betroffenheit bei aktiviertem HTTP/3. Die Liste von Microsoft enthält .NET 6 nicht, und Ubuntu hat die Beurteilung zurückgestellt.

Behoben in

• ASP.NET Core 8.0.32 oder neuer
• ASP.NET Core 9.0.21 oder neuer
• ASP.NET Core 10.0.13 oder neuer
• Visual Studio 2022 Version 17.14.42 oder neuer
• Visual Studio 2026 Version 18.10.4 oder neuer
• Package-Referenz aktualisieren, falls eine Anwendung das verwundbare Package direkt referenziert

Umgehung

• Microsoft dokumentiert keine Workaround-Massnahme; das Patchen ist die Behebung.
• Ein Drittanbieter empfiehlt, HTTP/3 auf Kestrel-Endpunkten bis zum Patch zu deaktivieren. Dies ist durch Microsoft nicht bestätigt.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Die CVE ist in den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• EPSS-Werte variieren je nach Quelle: 0.85 % und 0.96 %.

Unsere Empfehlung

• Inventarisieren Sie .NET-Laufzeitumgebungen, SDKs und Visual-Studio-Installationen, auch auf Entwicklerarbeitsplätzen.
• Patchen Sie auf ASP.NET Core 8.0.32, 9.0.21 oder 10.0.13 sowie auf die korrigierten Visual-Studio-Versionen.
• Prüfen Sie, ob HTTP/3 auf Kestrel-Endpunkten aktiviert ist, und deaktivieren Sie es bis zum Patch gegebenenfalls.
• Priorisieren Sie Anwendungen mit Internetzugang sowie kundenorientierte Portale und APIs.
• Klären Sie die Exposition von .NET 6 beim Hersteller ab, da der Status unbestätigt ist.
• Überwachen Sie Verfügbarkeit und Ressourcenverbrauch betroffener Dienste.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide CVE-2026-70186 msrc.microsoft.com
• GitHub .NET announcement issue 461 github.com
• GitHub Advisory GHSA-mf4x-w4gh-4656 github.com
• Ubuntu security CVE-2026-70186 ubuntu.com
• Red Hat Bugzilla 2548793 bugzilla.redhat.com
• HeroDevs vulnerability directory CVE-2026-70186 www.herodevs.com
• GitLab advisory CVE-2026-70186 advisories.gitlab.com
• Strix CVE-2026-70186 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:03.