Microsoft-Sicherheitsratgeber CVE-2026-70186 – Denial-of-Service-Schwachstelle in ASP.NET Core
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitsratgeber, um über eine Sicherheitsanfälligkeit in Microsoft.AspNetCore.Server.Kestrel.Core zu informieren. Zudem enthält der Ratgeber Empfehlungen für Entwickler, wie sie ihre Anwendungen aktualisieren können, um diese Schwachstelle zu beheben.
Ein nicht authentifizierter Remote-Angreifer kann speziell gestaltete HTTP/3-Reset- oder Abort-Sequenzen senden, die die Verbindungsverarbeitung von Kestrel in einen Deadlock versetzen. Wiederholte Anfragen können zur übermäßigen Erstellung blockierter Threads führen und die Serverressourcen erschöpfen, was zu einem Denial-of-Service-Zustand führt.
Ankündigung
Die Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/461 abrufbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Score: 7.5
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Schwachstellentyp: CWE-833 (Deadlock)
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS mit HTTP/3-Unterstützung
- Architekturen: Alle
Betroffene Pakete
Die Schwachstelle betrifft Microsoft .NET-Projekte, die eine der nachfolgend aufgeführten betroffenen Paketversionen verwenden.
FAQ zum Ratgeber
Woher weiß ich, ob ich betroffen bin?
Wenn Sie ein Paket verwenden, das unter den betroffenen Paketen aufgeführt ist, sind Sie von der Schwachstelle betroffen.
Wie behebe ich das Problem?
- Um das Problem zu beheben, installieren Sie bitte die neueste Version von .NET. Wenn Sie ein oder mehrere .NET SDKs über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch Ihre .NET SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf das betroffene Paket verweist, aktualisieren Sie den Paketverweis auf die gepatchte Version. Sie können die installierten Versionen auflisten, indem Sie den Befehl
dotnet --infoausführen.
Nachdem Sie die aktualisierte Runtime oder das SDK installiert haben, starten Sie Ihre Anwendungen neu, damit das Update wirksam wird.
Wenn Sie selbstständige Anwendungen (self-contained applications) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind diese Anwendungen ebenfalls anfällig und müssen neu kompiliert sowie erneut bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie es bitte dem Microsoft Security Response Center (MSRC) über das MSRC Researcher Portal.. Weitere Informationen finden Sie in den FAQ zum Melden von Problemen des MSRC..
Sicherheitsmeldungen über das MSRC können sich für das Microsoft .NET Bounty-Programm qualifizieren. Details zum Microsoft .NET Bounty-Programm einschließlich der Bedingungen finden Sie unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können Sie auf GitHub in der .NET GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält dieses Bulletin als Issue und verweist auf ein Diskussions-Issue, in dem Sie Fragen stellen können.
Haftungsausschluss
Die in diesem Ratgeber bereitgestellten Informationen werden "wie besehen" ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft lehnt alle ausdrücklichen oder stillschweigenden Gewährleistungen ab, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger Schäden, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Staaten erlauben den Ausschluss oder die Beschränkung der Haftung für Folge- oder Zufallsschäden nicht, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Externe Links
Danksagungen
- Kevin Gosse
- Muhammad Abdul Rehman
Revisionen
V1.0 (10/13/2026): Ratgeber veröffentlicht.
Was zu tun ist
- Installieren Sie die neueste Version von .NET. Wurden .NET SDKs über Visual Studio installiert, führen Sie das von Visual Studio vorgeschlagene Update durch, um die SDKs zu aktualisieren.
- Verweist die Anwendung auf ein betroffenes Paket, aktualisieren Sie die Paket-Referenz auf die gepatchte Version. Installierte Versionen lassen sich mit dem Befehl
dotnet --infoauflisten.
Nach der Installation der aktualisierten Runtime oder des SDKs müssen die Anwendungen neu gestartet werden. Zuvor bereitgestellte selbstständige Anwendungen), die auf betroffene Versionen abzielen, müssen neu kompiliert und erneut bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x86 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
Verweise
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-mf4x-w4gh-4656
- https://github.com/dotnet/announcements/issues/461
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69797
- https://nvd.nist.gov/vuln/detail/CVE-2026-70186
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70186
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Schwäche (CWE)
CWE-833- Plattform
- .NET (NuGet)
- Paket
Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64, Microsoft.AspNetCore.App.Runtime.linux-musl-arm- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-mf4x-w4gh-4656 - CC BY 4.0
Schwachstellenhistorie: Microsoft.AspNetCore.App.Runtime.linux-arm64
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 25
- Erste → letzte
- 05.2022 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 3
- Hoch 19
- Mittel 3
Veröffentlichungen pro Jahr
- 2022: 12
- 2023: 1
- 2024: 5
- 2025: 2
- 2026: 5
-
Microsoft-Sicherheitsratgeber CVE-2026-70186 – Denial-of-Service-Schwachstelle in ASP.NET Core dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.