Microsoft .NET: Umgehung einer Sicherheitsfunktion durch fehlerhafte Signaturprüfung

Zusammenfassung

Eine fehlerhafte Überprüfung kryptografischer Signaturen in Microsoft .NET erlaubt einem Angreifer über das Netzwerk, eine Sicherheitsfunktion zu umgehen. Laut Microsoft wird auf betroffenen Linux-Systemen die Signaturprüfung unter Umständen nicht durchgesetzt, sodass nicht vertrauenswürdige Paketinhalte installiert oder ausgeführt werden könnten; auch Signaturprüfungen von NuGet-Paketen könnten umgangen werden. Voraussetzung ist, dass ein Benutzer nicht vertrauenswürdige Inhalte wiederherstellt oder ausführt; Privilegien sind nicht nötig. Microsoft stuft die Schwachstelle als wichtig ein (CVSS 8.8).

Betroffen

• Microsoft .NET 10.0 Runtime: 10.0.0 bis unter 10.0.402 (CNA-Eintrag)
• Microsoft .NET 11.0 Runtime: 11.0.0 bis unter 11.0.100-rc.2 (CNA-Eintrag)
• Microsoft Visual Studio 2022 Version 17.14: 17.14.0 bis unter 17.14.42 (CNA-Eintrag)
• Microsoft Visual Studio 2026 Version 18.10: 18.10.0 bis unter 18.10.4 (CNA-Eintrag)
• Widersprüchliche Angaben: Bitnami listet .NET 10.0.0 bis 10.0.13; ein Drittanbieter-Tracker listet das .NET SDK unterhalb 10.0.13. Die Überprüfung anhand des MSRC-Advisory steht aus.

Behoben in

• Behoben in .NET 10.0 ab 10.0.402 laut CNA-Eintrag; der Bitnami-Eintrag und ein Drittanbieter-Tracker nennen 10.0.13. Die genaue Version im MSRC-Advisory prüfen.
• Behoben in .NET 11.0 ab 11.0.100-rc.2 laut CNA-Eintrag.
• Behoben in Visual Studio 2022 17.14.42 und Visual Studio 2026 18.10.4 laut CNA-Eintrag.
• Von Ubuntu paketiertes .NET: nicht verifiziert.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Keine .NET-Projekte oder dateibasierten Anwendungen aus nicht vertrauenswürdigen Quellen wiederherstellen oder ausführen.
• Nur vertrauenswürdige NuGet-Feeds verwenden.
• Bis zur Behebung den Kreis der Personen einschränken, die auf gemeinsam genutzten Rechnern bauen dürfen.

Ausnutzung

• Nicht öffentlich bekannt und nicht als ausgenutzt gemeldet (Microsoft, Exploit-Reife "Unproven").
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS-Wert etwa 0,0046 (geringe vorhergesagte Wahrscheinlichkeit).
• Kein öffentlicher Proof of Concept gefunden.
• Status in der CISA KEV: auf der Website der CISA prüfen.

Unsere Empfehlung

• Die neuesten Microsoft-Updates für .NET 10.0, .NET 11.0, Visual Studio 2022 17.14 und Visual Studio 2026 18.10 auf Entwickler-Arbeitsstationen, Build-Servern und Linux-Hosts installieren.
• Die behobenen Build-Nummern im MSRC-Advisory bestätigen, bevor eine bestimmte Version freigegeben wird.
• Linux-Systeme mit installierter .NET-Runtime prüfen und Distributionspakete von Ubuntu und anderen Anbietern separat verfolgen.
• Bis zur Behebung die oben genannten Übergangsmassnahmen anwenden.
• Priorität: hoch für Organisationen, die .NET-Software entwickeln oder bereitstellen oder sich auf NuGet-Signaturprüfungen verlassen; mittel für gewöhnliche Desktop-Benutzer ohne .NET-Entwicklungswerkzeuge.
• Herstellerhinweise auf Updates überwachen.

(Hinweis: Die behobenen Versionen und der KEV-Status sind noch nicht verifiziert.)

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96957 msrc.microsoft.com
• Red Hat CVE page: CVE-2026-96957 access.redhat.com
• CVE list record (Vulners): CVE-2026-96957 vulners.com
• Ubuntu CVE page: CVE-2026-96957 ubuntu.com
• OSV Bitnami record: BIT-dotnet-2026-96957 osv.dev
• OpenCVE: CVE-2026-96957 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:51.