Microsoft .NET SDK: Lokale Rechteerweiterung durch Link Following
Zusammenfassung
Ein Link-Following-Fehler (CWE-59) im Windows-Installer für Workloads mit erhöhten Rechten des .NET SDK erlaubt einem lokalen Benutzer mit niedrigen Rechten, seine Privilegien zu erweitern. Der Installer kann dazu gebracht werden, einem Junction- oder symbolischen Link unter %ProgramData%\dotnet zu folgen. Für die Ausnutzung sind ein lokales Konto und eine Interaktion eines Benutzers nötig, etwa das Öffnen einer präparierten Datei oder eines präparierten Links. Microsoft hat die Lücke am 13. Oktober 2026 geschlossen; öffentliche PoCs oder eine Ausnutzung sind nicht bekannt.
Betroffen
- .NET SDK 11.0-Previews: 11.0.100-preview.1 bis 11.0.100-rc.1
- .NET SDK 10.0.400-Band: 10.0.400 bis 10.0.401
- .NET SDK 10.0.100-Band: 10.0.100 bis 10.0.112
- Der CNA-Eintrag nennt zusätzlich Laufzeitbereiche von .NET 9.0, 10.0 und 11.0 sowie Bereiche für Visual Studio 2022 und 2026. Die Kopie der Advisory bestätigt diese nicht; auf der MSRC-Seite prüfen.
- .NET 6 (EOL): von Microsoft nicht bewertet. Eine Drittquelle nennt 6.0.100 bis 6.0.437 (unbestätigt).
Behoben in
- .NET SDK 11.0.100-rc.2
- .NET SDK 10.0.402
- .NET SDK 10.0.113
- Visual Studio: korrigierte Builds gemäss MSRC-Advisory (unbestätigt).
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden; die korrigierte SDK-Version einspielen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Soweit ermittelbar nicht im CISA KEV aufgeführt (nicht auf cisa.gov bestätigt).
- Kein öffentlicher PoC gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Windows-Hosts mit .NET SDK inventarisieren, einschliesslich Visual-Studio-Installationen, und deren Versionen erfassen.
- Auf die oben genannten korrigierten Versionen aktualisieren, zuerst Entwickler-Workstations und Build-Hosts.
- Für .NET 6 oder andere EOL-SDKs ein Upgrade planen.
- Vor dem Schliessen des Tickets die endgültige Liste der betroffenen Versionen auf der MSRC-Seite prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-70190 msrc.microsoft.com
- dotnet/sdk issue 56612 (mirror of Microsoft advisory) github.com
- HeroDevs vulnerability directory: CVE-2026-70190 www.herodevs.com
- Vulners NVD record: CVE-2026-70190 vulners.com
- Vulners Microsoft CVE record: MS:CVE-2026-70190 vulners.com
- Ubuntu security tracker: CVE-2026-70190 ubuntu.com
- Rapid7: October 2026 Patch Tuesday www.rapid7.com
- Strix: CVE-2026-70190 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:09.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.