Microsoft-Sicherheitshinweis CVE-2026-96959 – Denial-of-Service-Sicherheitslücke in .NET und Visual Studio
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft hat diesen Sicherheitshinweis veröffentlicht, um über eine Sicherheitslücke in System.Security.Cryptography.Xml und System.Private.Xml zu informieren. Dieser Hinweis enthält außerdem Richtlinien für Entwickler, um ihre Anwendungen zur Behebung dieser Schwachstelle zu aktualisieren.
Korrekturen für signiertes XML führen Grenzwerte für Eingabetiefe sowie Operationsanzahl ein, verbieten standardmäßig die DTD-Verarbeitung, validieren Entity-Referenzen, begrenzen die Verarbeitung von Kandidaten für verschlüsselte Daten und deckeln Attribute sowie Namespaces bei C14N-Transformationen.
Ankündigung
Die Ankündigung zu diesem Thema ist unter https://github.com/dotnet/announcements/issues/489 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Punktzahl: 7.5
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Schwäche: CWE-770 (Zuweisung von Ressourcen ohne Grenzwerte oder Drosselung)
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitslücke betrifft Microsoft .NET-Projekte, die eine der folgenden betroffenen Paketversionen verwenden:
| Paketname | Betroffene Version | Korrigierte Version |
|---|---|---|
| System.Security.Cryptography.Xml | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| System.Security.Cryptography.Xml | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| System.Security.Cryptography.Xml | >= 8.0.0, <= 8.0.4 | 8.0.5 |
| System.Security.Cryptography.Xml | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Häufig gestellte Fragen (FAQ)
Woher weiß ich, ob ich betroffen bin?
Wenn Sie ein in den betroffenen Paketen aufgeführtes Paket einsetzen, sind Sie von der Sicherheitslücke betroffen.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie es bitte dem Microsoft Security Response Center (MSRC) über das MSRC-Portal für Sicherheitsforscher.. Weitere Informationen finden Sie in den FAQ zum Melden eines Problems. des MSRC.
Sicherheitsmeldungen über das MSRC können sich für das Microsoft .NET Bounty-Programm qualifizieren. Details und Bedingungen finden Sie unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können auf GitHub in der .NET GitHub-Organisation gestellt werden. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält dieses Bulletin als Issue mit einem Verweis auf eine Diskussionsseite.
Haftungsausschluss
Die in diesem Hinweis bereitgestellten Informationen werden "wie besehen" ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft schließt alle ausdrücklichen oder stillschweigenden Gewährleistungen aus, einschließlich der Zusicherung allgemeiner Gebrauchstauglichkeit und der Eignung für einen bestimmten Zweck. Microsoft Corporation oder ihre Lieferanten haften in keinem Fall für Schäden jeglicher Art, einschließlich direkter, indirekter oder zufälliger Schäden, Folgeschäden, entgangenem Gewinn oder besonderen Schäden.
Externe Links
Danksagungen
- novice-22
- Ky0toFu (@ky0tofu)
- Dr.-Ing Ashar Javed (@soaj1664ashar)
Überarbeitungen
V1.0 (10/13/2026): Hinweis veröffentlicht.
Was zu tun ist
-
Um das Problem zu beheben, installieren Sie bitte die neueste Version von .NET. Wenn Sie mindestens ein .NET SDK über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch Ihre .NET SDKs aktualisiert werden.
-
Wenn Ihre Anwendung auf das verwundbare Paket verweist, aktualisieren Sie den Paketverweis auf die korrigierte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Nachdem Sie die aktualisierte Runtime oder das SDK installiert haben, starten Sie Ihre Anwendungen neu, damit die Aktualisierung wirksam wird.
Darüber hinaus gilt: Wenn Sie eigenständige Anwendungen (self-contained applications) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind auch diese Anwendungen verwundbar und müssen neu kompiliert sowie neu bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.5, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.5, 9.0.21 |
Verweise
- https://github.com/dotnet/runtime/security/advisories/GHSA-c399-9853-6jmj
- https://github.com/dotnet/announcements/issues/489
- https://github.com/dotnet/runtime/issues/135710
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-96959
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96959
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Schwäche (CWE)
CWE-770- Plattform
- .NET (NuGet)
- Paket
System.Security.Cryptography.Xml- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-c399-9853-6jmj - CC BY 4.0
Schwachstellenhistorie: System.Security.Cryptography.Xml
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 14
- Erste → letzte
- 10.2018 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 13
- Mittel 1
Veröffentlichungen pro Jahr
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Microsoft-Sicherheitshinweis CVE-2026-96959 – Denial-of-Service-Sicherheitslücke in .NET und Visual Studio dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.