Microsoft .NET: Out-of-Bounds-Write ermöglicht Remote Code Execution

Zusammenfassung

Microsoft .NET enthält einen Out-of-Bounds-Write (CWE-787) im Netzwerkcode von System.Net.Sockets, der Windows-Systeme betrifft. Ein nicht authentifizierter Angreifer im Netzwerk kann ausserhalb eines Puffers schreiben und unter Umständen Code ausführen; Microsoft stuft die Lücke als wichtig ein (CVSS 8.1). Die Schwachstelle wird ausgelöst, wenn Anwendungscode ein SocketAsyncEventArgs-Objekt für den UDP-Empfang über IPv4- und IPv6-Datagramm-Sockets wiederverwendet, weshalb die Exposition von den eingesetzten Anwendungen abhängt.

Betroffen

• Microsoft .NET 8.0, 9.0, 10.0 und 11.0 (Preview- und RC-Versionen), installiert unter Windows, gemäss CVE-Eintrag; die Herstellerberatung vom 25. Oktober 2026 begrenzt den Bereich der Windows-.NET-8-Runtime auf Versionen vor 8.0.33
• Microsoft .NET 10.0 und 11.0 Runtime-Pakete, gemäss CVE-Eintrag
• Installationen unter Linux und macOS sind im CVE-Eintrag aufgeführt; Ubuntu markiert dotnet8 auf 24.04 und 22.04 als nicht betroffen
• Visual Studio: betroffen, genaue Build-Nummern unbekannt

Behoben in

• .NET 8: 8.0.33 Runtime oder 8.0.133 bzw. 8.0.427 SDK
• .NET 10: 10.0.14 Runtime oder 10.0.114 bzw. 10.0.403 SDK
• .NET 11: 11.0.0-rc.3 Runtime oder 11.0.100-rc.3 SDK (Release Candidate)
• .NET 9: Unbekannt; siehe Herstellerberatung
• Visual Studio: In zwei Release-Linien korrigiert, genaue Builds unbekannt; siehe Herstellerberatung

Umgehung

Unbekannt. Der Hersteller dokumentiert keinen Workaround; die vorgesehene Massnahme ist das Einspielen des Patches. Eine von Dritten aufgeführte WAF-Regel ist nicht verifiziert und ersetzt das Patchen nicht.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt
• CISA SSVC: Exploitation none, Automatable no
• Laut einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert
• EPSS 0.00788 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit)
• Der NVD-Status war zum Zeitpunkt der Recherche noch Awaiting Analysis

Unsere Empfehlung

• Alle .NET-8-, 9-, 10- und 11-Runtimes und SDKs auf Windows-Servern und Arbeitsstationen inventarisieren, einschliesslich selbstcontainter Anwendungen mit eigener Runtime
• Die oben genannten Builds vom 25. Oktober 2026 installieren; für .NET 9 und Visual Studio die korrigierte Version in der Herstellerberatung prüfen
• Selbstcontainte Anwendungen neu erstellen und ausrollen, damit sie die korrigierte Runtime verwenden
• Anwendungen identifizieren, die UDP-Daten empfangen, und netzwerkseitig erreichbare sowie internetexponierte Dienste priorisieren
• Hersteller von Windows-.NET-Produkten anfragen, ob sie betroffen sind und wann aktualisierte Builds verfügbar sind
• Nach dem Patchen die installierte Build-Version überprüfen, da die erste Veröffentlichung vom 13. Oktober die .NET-8-Korrektur nicht enthielt

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70197 msrc.microsoft.com
• GitHub Security Advisory GHSA-4mpw-cpwj-hxxj (dotnet/runtime) github.com
• dotnet/announcements issue 493 github.com
• Microsoft .NET 8 update October 25, 2026 support.microsoft.com
• Infosecurity Magazine: Microsoft patch update .NET flaw www.infosecurity-magazine.com
• Ubuntu CVE tracker: CVE-2026-70197 ubuntu.com
• Miggo vulnerability database: CVE-2026-70197 www.miggo.io
• Vulners NVD record: CVE-2026-70197 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:31.