Microsoft-Sicherheitsleitfaden CVE-2026-96225: Sicherheitsanfälligkeit bezüglich Rechteerweiterung in .NET und Visual Studio
Zusammenfassung
Microsoft hat diesen Sicherheitsleitfaden veröffentlicht, um über eine Sicherheitsanfälligkeit in Microsoft.NETCore.App.Runtime und System.Private.CoreLib zu informieren. Dieser Leitfaden bietet zudem Hinweise für Entwickler, wie sie ihre Anwendungen aktualisieren können, um diese Schwachstelle zu beseitigen.
Pfade für benannte Mutexe und Shared Memory unter Unix können über unsichere globale Verzeichnisse, Symlink-Races und unsichere Berechtigungsänderungen manipuliert werden. Dies ermöglicht es lokalen Angreifern, Dateien zu kürzen oder zu überschreiben, Verzeichnisberechtigungen zu erweitern oder Berechtigungen zu eskalieren.
Ankündigung
Die offizielle Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/476 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Score: 7.8
- Vektor:
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - Schwachstelle: CWE-59 (Fehlerhafte Link-Auflösung vor Dateizugriff ('Link Following'))
Betroffene Plattformen
- Plattformen: Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die eine der folgenden betroffenen Paketversionen verwenden:
Leitfaden-FAQ
Woher weiß ich, ob ich betroffen bin?
Wenn Sie ein Paket verwenden, das unter den betroffenen Paketen aufgeführt ist, sind Sie von der Sicherheitsanfälligkeit betroffen.
Wie behebe ich das Problem?
- Um das Problem zu beheben, installieren Sie bitte die neueste Version von .NET. Wenn Sie ein oder mehrere .NET-SDKs über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch Ihre .NET-SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf das betroffene Paket verweist, aktualisieren Sie den Paketverweis auf die gepatchte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Nachdem Sie die aktualisierte Runtime oder das SDK installiert haben, starten Sie Ihre Anwendungen neu, damit das Update wirksam wird.
Darüber hinaus sind bereitgestellte eigenständige Anwendungen), die auf betroffene Versionen abzielen, ebenfalls anfällig und müssen neu kompiliert sowie neu bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie es bitte über das MSRC-Forscherportal.) an das Microsoft Security Response Center (MSRC). Weitere Informationen finden Sie in den MSRC-FAQ zum Melden eines Problems.).
Sicherheitsmeldungen über das MSRC können für die Microsoft .NET Bounty qualifiziert sein. Einzelheiten zum Microsoft .NET Bounty-Programm einschließlich der Bedingungen finden Sie unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können Sie auf GitHub in der .NET-GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält dieses Bulletin als Issue und verlinkt auf ein Diskussions-Issue, in dem Sie Fragen stellen können.
Haftungsausschluss
Die in diesem Leitfaden bereitgestellten Informationen werden "wie besehen" ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft lehnt alle ausdrücklichen oder stillschweigenden Gewährleistungen ab, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, entgangenen Geschäftsgewinns oder besonderer Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Staaten erlauben den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht, sodass die vorstehende Beschränkung möglicherweise nicht zutrifft.
Externe Links
Danksagungen
- Weeraphat Srisutham
- Ky0toFu (@ky0tofu)
- Leandro Batista
- Kevin Schmidt
- Attila.Cs (zerodaybugs.com)
- Stanley Tobias
- minhducnguyen03022002@gmail.com mit Saigon Newport Corporation
Überarbeitungen
V1.0 (10/13/2026): Leitfaden veröffentlicht.
Was zu tun ist
- Installieren Sie die neueste Version von .NET. Bei Installation über Visual Studio aktualisieren Sie Visual Studio, wodurch auch die .NET-SDKs aktualisiert werden.
- Aktualisieren Sie Paketverweise auf die jeweilige bereinigte Version. Installierte Versionen können mit
dotnet --infogeprüft werden.
Starten Sie nach der Installation der aktualisierten Laufzeitumgebung oder des SDKs alle Anwendungen neu. Eigenständige Anwendungen (self-contained applications) müssen neu kompiliert und bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-59- Plattform
- .NET (NuGet)
- Paket
Microsoft.NETCore.App.Runtime.linux-arm, Microsoft.NETCore.App.Runtime.linux-arm64, Microsoft.NETCore.App.Runtime.linux-musl-arm- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 15.10.2026 08:00
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-w6wh-p4g7-mpj2 - CC BY 4.0
Schwachstellenhistorie: Microsoft.NETCore.App.Runtime.linux-arm
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 35
- Erste → letzte
- 09.2020 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 1
Verteilung nach Schweregrad
- Hoch 22
- Mittel 12
- Niedrig 1
Veröffentlichungen pro Jahr
- 2020: 1
- 2021: 0
- 2022: 6
- 2023: 5
- 2024: 4
- 2025: 5
- 2026: 14
-
Microsoft-Sicherheitsleitfaden CVE-2026-96225: Sicherheitsanfälligkeit bezüglich Rechteerweiterung in .NET und Visual Studio dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.