Microsoft-Sicherheitshinweis CVE-2026-88092 – Sicherheitsfunktionsumgehung in ASP.NET Core
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitshinweis, um Informationen über eine Sicherheitsanfälligkeit in Microsoft.AspNetCore.Server.Kestrel.Core bereitzustellen. Dieser Hinweis enthält außerdem Anleitungen für Entwickler zur Aktualisierung ihrer Anwendungen, um diese Sicherheitsanfälligkeit zu beseitigen.
Eine abgebrochene Kestrel HTTP/1-Verbindung kann ungelesene Bytes des Anforderungstextes als weitere Anforderung erneut parsen, was einen Pfad für Request-Smuggling oder Desynchronisation eröffnet.
Ankündigung
Die Ankündigung zu diesem Problem finden Sie unter https://github.com/dotnet/announcements/issues/472
CVSS-Details
- Version: 3.1
- Schweregrad: Kritisch
- Punktzahl: 9.4
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L - Schwäche: CWE-444 (Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling'))
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die eine der unten aufgeführten betroffenen Paketversionen verwenden.
Häufig gestellte Fragen (FAQ)
Wie stelle ich fest, ob ich betroffen bin?
Wenn Sie eines der unter den betroffenen Paketen aufgeführten Pakete verwenden, sind Sie von der Sicherheitsanfälligkeit betroffen.
Wie behebe ich das Problem?
- Installieren Sie zur Behebung des Problems die neueste Version von .NET. Wenn Sie ein oder mehrere .NET SDKs über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, das Programm zu aktualisieren, wodurch auch Ihre .NET SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf das betroffene Paket verweist, aktualisieren Sie den Paketverweis auf die bereinigte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Starten Sie nach der Installation der aktualisierten Laufzeit oder des SDK Ihre Anwendungen neu, damit die Aktualisierung wirksam wird.
Darüber hinaus sind auch bereitgestellte eigenständige Anwendungen (self-contained), die auf betroffene Versionen abzielen, anfällig und müssen neu kompiliert sowie erneut bereitgestellt werden.
Weitere Informationen
Sicherheitslücken melden
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie es bitte über das MSRC-Forscherportal. an das Microsoft Security Response Center (MSRC). Weitere Informationen finden Sie in den FAQ zur Problemmeldung des MSRC..
Über das MSRC eingereichte Sicherheitsberichte können sich für das Microsoft .NET-Bounty-Programm qualifizieren. Einzelheiten zum Microsoft .NET-Bounty-Programm einschließlich der Bedingungen finden Sie unter https://aka.ms/corebounty..
Support
Sie können Fragen zu diesem Problem auf GitHub in der .NET GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Ankündigungs-Repository (https://github.com/dotnet/Announcements) enthält diesen Bericht als Issue und verlinkt auf ein Diskussions-Issue, in dem Fragen gestellt werden können.
Haftungsausschluss
Die in diesem Hinweis bereitgestellten Informationen werden „wie besehen“ ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft lehnt jede ausdrückliche oder stillschweigende Gewährleistung ab, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, entgangenen Geschäftsgewinns oder besonderer Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Da einige Rechtsordnungen den Ausschluss oder die Beschränkung der Haftung für Folge- oder Zufallsschäden nicht zulassen, gilt die vorstehende Einschränkung möglicherweise nicht.
Externe Links
Danksagung
- thegoldmandm
Revisionen
V1.0 (10/13/2026): Hinweis veröffentlicht.
Was zu tun ist
Zur Behebung dieser Sicherheitslücke:
- Installieren Sie die neueste Version von .NET bzw. aktualisieren Sie Visual Studio, falls .NET SDKs darüber verwaltet werden.
- Aktualisieren Sie Paketverweise in betroffenen Projekten auf gepatchte Versionen (überprüfbar mit dem Befehl
dotnet --info). - Starten Sie Anwendungen nach dem Update der Laufzeitumgebung oder des SDK neu.
- Kompilieren und veröffentlichen Sie eigenständige (self-contained) Anwendungen neu, die betroffene Versionen nutzen.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x86 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Schwäche (CWE)
CWE-444- Plattform
- .NET (NuGet)
- Paket
Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64, Microsoft.AspNetCore.App.Runtime.linux-musl-arm- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-rv87-ccxw-8ggf - CC BY 4.0
Schwachstellenhistorie: Microsoft.AspNetCore.App.Runtime.linux-arm
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 25
- Erste → letzte
- 05.2022 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 3
- Hoch 19
- Mittel 3
Veröffentlichungen pro Jahr
- 2022: 12
- 2023: 1
- 2024: 5
- 2025: 2
- 2026: 5
-
Microsoft-Sicherheitshinweis CVE-2026-88092 – Sicherheitsfunktionsumgehung in ASP.NET Core dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.