Microsoft .NET: Link Following ermöglicht lokale Rechteerweiterung

Zusammenfassung

Die .NET-Laufzeitumgebung von Microsoft löst Links vor dem Dateizugriff nicht korrekt auf (CWE-59, Link Following). Betroffen sind unter anderem Named-Mutex- und Shared-Memory-Pfade auf Unix-ähnlichen Systemen. Ein berechtigter lokaler Benutzer kann dies ausnutzen, um seine Rechte auf dem betroffenen System zu erweitern. Für einen Angriff ist ein lokales Konto nötig, und das System ist nicht direkt aus dem Internet erreichbar. Microsoft hat korrigierte Versionen veröffentlicht; es sind weder öffentlicher Exploit-Code noch aktive Ausnutzung gemeldet.

Betroffen

• Microsoft .NET 8.0: 8.0.0 bis vor 8.0.32
• Microsoft .NET 9.0: 9.0.0 bis vor 9.0.21
• Microsoft .NET 10.0: 10.0.0 bis vor 10.0.13
• Microsoft .NET 11.0: 11.0.0 bis vor 11.0.0-rc.2
• Visual Studio 2022 Version 17.14: 17.14.0 bis vor 17.14.42
• Visual Studio 2026 Version 18.10: 18.10.0 bis vor 18.10.4
• Windows: Unbestätigt. Eine sekundäre Quelle nennt Windows als nicht betroffen; dies ist auf der MSRC-Seite zu prüfen.

Behoben in

• .NET-Laufzeitumgebungen 8.0.32, 9.0.21, 10.0.13 und 11.0.0-rc.2 (passende SDKs gemäss Herstellerankündigung)
• Visual Studio 17.14.42 und 18.10.4 (gemäss offiziellem CVE-Eintrag)
• Linux-Distributionen: Errata der jeweiligen Distribution für die dotnet-Pakete verwenden

Umgehung

Unbekannt. Microsoft stellt für unterstützte Versionen einen Patch statt einer Workaround-Massnahme bereit.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. CISA-SSVC-Bewertung der Ausnutzung: none. Nicht in der CISA-KEV-Liste.
• Kein öffentlicher Proof of Concept gefunden. Der EPSS-Wert liegt bei etwa 0,4 %.

Unsere Empfehlung

• .NET-Laufzeitumgebungen und SDKs auf die korrigierten Versionen aktualisieren, zuerst auf Mehrbenutzer-Linux- und macOS-Systemen, gemeinsam genutzten CI-Runnern und Container-Build-Hosts.
• Installierte Visual-Studio-Versionen prüfen und die Betroffenheit von Windows auf der MSRC-Seite bestätigen.
• Lokalen Shell-Zugriff auf betroffenen Systemen einschränken und die von .NET-Diensten beschriebenen Verzeichnisse prüfen.
• Die Aktualisierung auf übrigen Systemen im normalen Patch-Zyklus einplanen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• GitHub Advisory GHSA-w6wh-p4g7-mpj2 github.com
• .NET announcement (fixed versions) github.com
• Red Hat Bugzilla bugzilla.redhat.com
• OSV (Ubuntu) osv.dev
• HeroDevs vulnerability directory www.herodevs.com
• OpenCVE app.opencve.io
• VulDB vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:58.