Microsoft ASP.NET Core: HTTP-Request-Smuggling in Kestrel

Zusammenfassung

Der Webserver Kestrel von ASP.NET Core kann nicht gelesene Request-Body-Bytes einer abgebrochenen HTTP/1-Verbindung als neuen Request interpretieren. Ein entfernter, nicht authentifizierter Angreifer kann dies nutzen, um Requests einzuschleusen, Datenverkehr zu manipulieren und möglicherweise Filter von Proxys oder WAFs zu umgehen. Am stärksten gefährdet sind Anwendungen, die Kestrel über HTTP/1.1 bereitstellen, insbesondere aus dem Internet erreichbare Anwendungen und Anwendungen hinter Reverse Proxys.

Betroffen

• Microsoft ASP.NET Core 8.0: Versionen 8.0 bis vor 8.0.32
• Microsoft ASP.NET Core 9.0: Versionen 9.0 bis vor 9.0.21
• Microsoft ASP.NET Core 10.0: Versionen 10.0 bis vor 10.0.13
• Microsoft ASP.NET Core 11.0: Versionen 11.0 bis vor 11.0.0-rc.2
• Microsoft Visual Studio 2022 Version 17.14: Versionen 17.14.0 bis vor 17.14.42
• Microsoft Visual Studio 2026 Version 18.10: Versionen 18.10.0 bis vor 18.10.4
• .NET 6: von Microsoft nicht bewertet; ein Drittanbieter meldet, dass die Version ebenfalls betroffen ist (nicht verifiziert)

Behoben in

• ASP.NET Core 8.0.32
• ASP.NET Core 9.0.21
• ASP.NET Core 10.0.13
• ASP.NET Core 11.0.0-rc.2
• Visual Studio 2022 17.14.42
• Visual Studio 2026 18.10.4
• Vollständige Liste der korrigierten Versionen: siehe Microsoft Security Update Guide (nicht vollständig verifiziert)

Umgehung

Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround verfügbar. Red Hat gibt an, dass keine Massnahme deren Kriterien erfüllt. Filterung auf einem Reverse Proxy oder einer WAF ist keine Behebung.

Ausnutzung

• CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total
• Nicht im CISA-KEV-Katalog aufgeführt
• In unserer Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; dies schliesst nicht aus, dass einer existiert

Unsere Empfehlung

• Alle .NET-Runtimes auf Servern, in Containern und Cloud-App-Services inventarisieren, einschliesslich der installierten Host-Runtime und nicht nur der SDKs oder Projektreferenzen
• Auf die in der Microsoft-Empfehlung genannten korrigierten Versionen aktualisieren und die installierte Runtime nach der Verteilung überprüfen
• Aus dem Internet erreichbare und hinter Reverse Proxys betriebene .NET-Anwendungen priorisieren
• Migration von nicht mehr unterstützten Versionen wie .NET 6 planen oder eine kostenpflichtige erweiterte Unterstützung prüfen
• Proxys oder WAFs nicht als einzige Verteidigung verwenden
• Microsoft-Empfehlung und CISA KEV auf Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88092 msrc.microsoft.com
• Microsoft advisory mirror (dotnet announcements) github.com
• GitHub Security Advisory GHSA-5rrx-jjjq-q2r5 github.com
• Red Hat CVE page access.redhat.com
• Red Hat Bugzilla entry bugzilla.redhat.com
• OpenCVE (CISA SSVC data) app.opencve.io
• HeroDevs blog (third-party, .NET 6) www.herodevs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:04.