Microsoft ASP.NET Core: Umgehung einer Sicherheitsfunktion durch HTTP-Request-Smuggling

Zusammenfassung

Eine Umgehung einer Sicherheitsfunktion im in ASP.NET Core integrierten Webserver Kestrel erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, eine Sicherheitskontrolle zu umgehen. Laut Microsoft akzeptiert Kestrel Zeilenumbruchzeichen in HTTP/2-Trailern und in Werten der HPACK-Dynamiktabelle, statt sie als fehlerhaft abzulehnen. Dies wird als HTTP Request Smuggling (CWE-444) eingestuft. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, der CVSS-3.1-Basiswert beträgt 9.1 (Kritisch). Gemäss dem offiziellen Eintrag sind die Auswirkungen auf Vertraulichkeit und Integrität hoch, auf die Verfügbarkeit keine.

Betroffen

• Microsoft ASP.NET Core 8.0: 8.0 bis vor 8.0.32 - Microsoft ASP.NET Core 9.0: 9.0 bis vor 9.0.21 - Microsoft ASP.NET Core 10.0: 10.0 bis vor 10.0.13 - Microsoft ASP.NET Core 11.0: 11.0.0-preview.1 bis vor 11.0.0-rc.2 - Microsoft Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.42 - Microsoft Visual Studio 2026 Version 18.10: 18.10.0 bis vor 18.10.4 - .NET 6 (Ende des Supports): von Microsoft nicht bewertet; eine Drittquelle meldet 6.0.0 bis 6.0.46 als betroffen

Behoben in

• ASP.NET Core 8.0.32 - ASP.NET Core 9.0.21 - ASP.NET Core 10.0.13 - ASP.NET Core 11.0.0-rc.2 - Visual Studio 2022 17.14.42 - Visual Studio 2026 18.10.4 - .NET 6: Drittanbieter-Korrektur in der NES-Version 6.0.47 (nicht von Microsoft erhältlich)

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total. - Zum Zeitpunkt der Recherche ist keine aktive Ausnutzung bekannt.

Unsere Empfehlung

• Alle Systeme mit ASP.NET Core oder Visual Studio inventarisieren und betroffene Versionen identifizieren. - Die oben aufgeführten korrigierten Versionen installieren, vorzugsweise die neueste .NET-Version. - Für das end-of-life .NET 6 eine Migration planen oder eine Drittanbieter-Korrektur beschaffen. - Reverse Proxies und Anwendungen prüfen, die Header-Werte aus HTTP/2 an HTTP/1.1-Backends weiterleiten. - Webserver-Logs auf auffällige Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-70188 msrc.microsoft.com
• Microsoft .NET GitHub discussion on CVE-2026-70188 github.com
• GitHub Security Advisory GHSA-5rrx-jjjq-q2r5 github.com
• GitLab advisory mirror CVE-2026-70188 advisories.gitlab.com
• Red Hat CVE page CVE-2026-70188 access.redhat.com
• HeroDevs vulnerability directory CVE-2026-70188 www.herodevs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:45.