Microsoft-Sicherheitshinweis CVE-2026-96222 – .NET-Spoofing-Sicherheitsanfälligkeit
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft hat einen Sicherheitshinweis zu einer Sicherheitsanfälligkeit in System.Security.Cryptography.Xml veröffentlicht.
KeyInfoX509Data kann serialisierte Zertifikatsformate akzeptieren, die vom Angreifer kontrollierte Ketten-Metadaten enthalten, anstatt ein einfaches X.509-Zertifikat vorauszusetzen. Dies begünstigt Pfade zur Zertifikatsfälschung und zum Token-Spoofing.
Ankündigung
Die Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/474 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Bewertung: 7.4
- Vektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N - Schwachstelle: CWE-295 (Improper Certificate Validation)
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die eine der folgenden Paketversionen verwenden:
| Paketname | Betroffene Version | Korrigierte Version |
|---|---|---|
| System.Security.Cryptography.Xml) | >= 8.0.0, <= 8.0.4 | 8.0.5 |
Häufig gestellte Fragen (FAQ)
Wie stelle ich fest, ob ich betroffen bin?
Wenn Ihr Projekt ein unter den betroffenen Paketen aufgeführtes Paket verwendet, sind Sie für diese Sicherheitsanfälligkeit anfällig.
Wie behebe ich das Problem?
-
Installieren Sie die neueste Version von .NET. Falls Sie .NET-SDKs über Visual Studio installiert haben, fordert Visual Studio Sie zu einer Aktualisierung auf, wodurch auch die SDKs aktualisiert werden.
-
Falls Ihre Anwendung auf das betroffene Paket verweist, aktualisieren Sie die Paket-Referenz auf die gepatchte Version. Installierte Versionen können mit dem Befehl
dotnet --infoaufgelistet werden.
Starten Sie Ihre Anwendungen nach der Installation der Runtime bzw. des SDKs neu, damit die Änderungen wirksam werden.
Darüber hinaus müssen bereitgestellte eigenständige Anwendungen), die auf betroffene Versionen abzielen, neu kompiliert und bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten .NET-Version finden, melden Sie dieses bitte über das MSRC-Forscherportal.) an das Microsoft Security Response Center (MSRC). Weitere Informationen finden Sie in den MSRC Report an Issue FAQ.).
Über MSRC eingereichte Meldungen können für das Microsoft .NET Bounty-Programm qualifiziert sein. Bedingungen und Details finden sich unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können auf GitHub in der .NET-GitHub-Organisation gestellt werden. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält diese Mitteilung als Issue inklusive Verlinkung auf ein Diskussions-Issue.
Haftungsausschluss
Die Informationen in dieser Mitteilung werden „wie besehen“ ohne jegliche Gewährleistung bereitgestellt. Microsoft lehnt jede ausdrückliche oder stillschweigende Gewährleistung ab. In keinem Fall haften die Microsoft Corporation oder ihre Zulieferer für Schäden jeglicher Art.
Externe Links
Danksagung
- Vaisha Bernard von Eye Security
Revisionen
V1.0 (10/13/2026): Hinweis veröffentlicht.
Was zu tun ist
Zur Behebung des Problems:
- Installieren Sie die neueste .NET-Version oder aktualisieren Sie Visual Studio, um Runtime und SDKs zu aktualisieren.
- Aktualisieren Sie Paketverweise auf
System.Security.Cryptography.XmlVersion 8.0.5 oder höher. - Starten Sie Anwendungen nach der Installation neu.
- Kompilieren Sie eigenständige Anwendungen (self-contained applications), die auf betroffene Versionen abzielen, neu und stellen Sie diese erneut bereit.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 8.0.0, < 8.0.5 | 8.0.5 |
Verweise
- https://github.com/dotnet/runtime/security/advisories/GHSA-vrv5-2jg9-4mmr
- https://github.com/dotnet/announcements/issues/474
- https://github.com/dotnet/runtime/issues/135705
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-96222
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96222
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Schwäche (CWE)
CWE-295- Plattform
- .NET (NuGet)
- Paket
System.Security.Cryptography.Xml- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-vrv5-2jg9-4mmr - CC BY 4.0
Schwachstellenhistorie: System.Security.Cryptography.Xml
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 14
- Erste → letzte
- 10.2018 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 13
- Mittel 1
Veröffentlichungen pro Jahr
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Microsoft-Sicherheitshinweis CVE-2026-96222 – .NET-Spoofing-Sicherheitsanfälligkeit dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.