Microsoft .NET: Rechteerweiterung durch Integer-Überlauf

Zusammenfassung

Ein Integer-Überlauf (CWE-190) in der Microsoft-.NET-Laufzeitumgebung und in .NET Framework erlaubt einem Angreifer, seine Rechte zu erweitern. Microsoft beschreibt den Auslöser als vom Angreifer manipulierte XPS-Glyphen-Koordinaten, die einen Schreibzugriff ausserhalb des Speicherbereichs in der WPF-Darstellung verursachen; daher ist eine Benutzerinteraktion nötig, etwa das Öffnen oder Anzeigen eines präparierten Dokuments in einer WPF-Anwendung. Der offizielle CVE-Eintrag und die Quellen zu den Beschreibungen widersprechen sich bei Angriffsvektor und Auswirkung; die Netzwerk-Angabe ist daher bis zur NVD-Analyse nicht bestätigt.

Betroffen

• Microsoft .NET 8.0 Laufzeitumgebung: 8.0.0 bis vor 8.0.32
• Microsoft .NET 9.0 Laufzeitumgebung: 9.0.0 bis vor 9.0.21 (gemäss CVE-Eintrag; Quellen widersprechen sich)
• Microsoft .NET 10.0 Laufzeitumgebung: 10.0.0 bis vor 10.0.13 (gemäss CVE-Eintrag; Quellen widersprechen sich)
• Microsoft .NET 11.0 Laufzeitumgebung: 11.0.0 bis vor 11.0.0-rc.2 (gemäss CVE-Eintrag; Quellen widersprechen sich)
• .NET Framework 4.8, 4.8.1 und 3.5 Builds gemäss Microsoft-Advisory (genaue Build-Liste unbestätigt)
• Visual Studio 2026 Version 18.10: 18.10.0 bis vor 18.10.4
• Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.42
• .NET 6: von Microsoft nicht bewertet; nur ein Drittanbieter-Fix existiert

Behoben in

• .NET 8.0: 8.0.32
• Visual Studio 2026 18.10: 18.10.4
• .NET 9.0 und .NET 10.0: Unbekannt. Microsoft-Advisory prüfen.
• .NET Framework: kumulatives Update vom 13. Oktober 2026 (KB5127694)
• .NET 6: Kein Microsoft-Fix. Drittanbieter-Build für erweiterten Support NES für .NET 6.0.47 (HeroDevs), keine Microsoft-Veröffentlichung.

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden.
• Allgemeine Härtung, nicht vom Hersteller dokumentiert: Bis zum Patch keine unbekannten XPS-Dokumente in WPF-Anwendungen öffnen.

Ausnutzung

• Ausnutzung in freier Wildbahn: Keine Hinweise gefunden. Laut einem Tracker nicht im CISA-KEV-Katalog; direkt überprüfen.
• Öffentlicher Proof of Concept: Keiner gefunden, was keinen Beweis für das Fehlen darstellt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• .NET 8 patchen, Visual Studio 2026 auf 18.10.4 aktualisieren und das kumulative Update vom Oktober 2026 für .NET Framework installieren.
• Die betroffene Build-Liste sowie die korrigierten Versionen für .NET 9 und .NET 10 im Microsoft-Advisory bestätigen.
• WPF-Anwendungen und Visual-Studio-Installationen inventarisieren; Desktop-Software priorisieren, die externe Dokumente öffnet.
• WPF-Anwendungen mit .NET 6 ersetzen oder erweitert unterstützen, da für sie kein Microsoft-Fix existiert.
• NVD und CISA KEV erneut prüfen, sobald die NVD-Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide CVE-2026-85363 msrc.microsoft.com
• GitHub dotnet announcements issue 469 github.com
• GitHub Advisory GHSA-f63g-mx39-3r38 github.com
• Microsoft KB5127694 (October 13, 2026) support.microsoft.com
• Visual Studio 2026 release notes learn.microsoft.com
• HeroDevs vulnerability directory www.herodevs.com
• Ubuntu security CVE-2026-85363 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:22.