Microsoft .NET: Denial of Service bei Prüfung von CMS/PKCS#7-Signaturen

Zusammenfassung

Eine Schwachstelle in SignedCms.CheckSignature der .NET-Komponente System.Security.Cryptography.Pkcs erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, mit manipulierten X.509-Daten wiederholtes Neuparsen auszulösen. Dadurch steigt die CPU-Auslastung quadratisch an, was zu einem Denial of Service führt. Betroffen sind nur Anwendungen, die CMS/PKCS#7-signierte Nachrichten aus nicht vertrauenswürdigen Quellen decodieren und prüfen. Der NVD-Score beträgt 7.5 (CVSS 3.1), die tatsächliche Exposition ist jedoch geringer.

Betroffen

• Microsoft .NET Framework und .NET-Pakete mit System.Security.Cryptography.Pkcs vor den in der CVE-Meldung genannten Versionen (z. B. 10.0.0 bis unter 10.0.13)
• Laut gespiegeltem Microsoft-Advisory: Pkcs 8.0.0-8.0.1, 9.0.0-9.0.20, 10.0.0-10.0.12, 11.0.0-preview.1 bis 11.0.0-rc.1
• .NET 6: betroffen auf allen Plattformen; kein upstream Fix (NES für .NET-Releases bis 6.0.46)
• Visual Studio 2022 Version 17.14 vor 17.14.42; Visual Studio 2026 Version 18.10 vor 18.10.4
• .NET Framework 3.5 und 4.6.2 bis 4.8.1: in der CVE-Meldung aufgeführt, noch nicht auf MSRC bestätigt
• .NET 7: unbekannt

Behoben in

• System.Security.Cryptography.Pkcs 8.0.2, 9.0.21, 10.0.13 und 11.0.0-rc.2
• .NET-Runtimes 8.0.32, 9.0.21 und 10.0.13 (Updates vom Oktober 2026)
• Visual Studio 2022 17.14.42 und Visual Studio 2026 18.10.4
• .NET 6: Fix nur in der kostenpflichtigen NES für .NET 6.0.47; kein upstream Microsoft-Fix
• .NET Framework: Fixversionen gemäss CVE-Meldung (z. B. 4.8.4811.0 für 4.8, 4.8.9363.0 für 4.8.1); auf MSRC prüfen

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme für ungepatchte Systeme gefunden. Direkte Paketreferenzen auf die gepatchte Version aktualisieren.

Ausnutzung

• CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell
• Kein Eintrag im CISA KEV gefunden; nicht als ausgenutzt bestätigt
• Kein öffentlicher Proof of Concept gefunden
• EPSS 0.00766 (laut Tenable ca. 0.8 % geschätzte Ausnutzungswahrscheinlichkeit innerhalb von 30 Tagen)

Unsere Empfehlung

• Gepatchte .NET-Runtime oder das Pkcs-Paket im nächsten monatlichen Patch-Zyklus installieren
• Prüfen, ob eine Anwendung SignedCms zur Prüfung von CMS/PKCS#7-Nachrichten Dritter verwendet; internetexponierte ASP.NET-Dienste dieser Art priorisieren
• .NET-6-Systeme identifizieren: Es gibt keinen upstream Fix, daher Migration planen oder kostenpflichtigen NES-Support prüfen
• .NET 8 und 9 erreichen am 10. November 2026 das Ende des Supports; Upgrade auf eine unterstützte Version planen
• Projekte auf transitive Abhängigkeiten von System.Security.Cryptography.Pkcs prüfen, inklusive Templates und Code-Generierungspakete
• CISA KEV und Herstellerhinweise auf Änderungen des Ausnutzungsstatus überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-84008 msrc.microsoft.com
• GitHub Advisory GHSA-846f-f764-76mx (Microsoft advisory mirror) github.com
• HeroDevs vulnerability directory: CVE-2026-84008 www.herodevs.com
• HeroDevs blog: .NET crypto CVEs (SAML/CMS DoS, .NET 6) www.herodevs.com
• Ubuntu security notice CVE-2026-84008 ubuntu.com
• Microsoft Visual Studio 2026 release notes learn.microsoft.com
• Tenable CVE-2026-84008 (EPSS) www.tenable.com
• Project template scanner finding (transitive dependency) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:42.