Microsoft-Sicherheitshinweis CVE-2026-96960 – Denial-of-Service-Schwachstelle in .NET und Visual Studio
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Microsoft hat einen Sicherheitshinweis zu einer Denial-of-Service-Schwachstelle in System.Security.Cryptography.Xml und System.Private.Xml herausgegeben.
Die Korrekturen für signiertes XML fügen Limits für Eingabetiefe sowie Operationsanzahl hinzu, verbieten die DTD-Verarbeitung standardmäßig, validieren Entitätsreferenzen, begrenzen die Verarbeitung von Kandidaten für verschlüsselte Daten und deckeln Attribute sowie Namensräume, die von C14N-Transformationen genutzt werden.
Details zur Ankündigung und CVSS
- Ankündigung: https://github.com/dotnet/announcements/issues/490
- CVSS-Version: 3.1
- Schweregrad: High
- Score: 7.5
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Schwächetyp: CWE-405 (Asymmetric Resource Consumption (Amplification))
Betroffene Plattformen
- Betriebssysteme: Windows, Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitslücke betrifft Microsoft .NET-Projekte, die Versionen der folgenden Pakete einbinden:
| Paketname | Betroffene Versionen | Bereinigte Version |
|---|---|---|
| System.Security.Cryptography.Xml | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| System.Security.Cryptography.Xml | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| System.Security.Cryptography.Xml | >= 8.0.0, <= 8.0.4 | 8.0.5 |
| System.Security.Cryptography.Xml | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Weitere Informationen
- Meldung von Sicherheitsproblemen: Berichte können über das MSRC Researcher Portal. eingereicht werden. Weitere Informationen finden Sie im MSRC Report an Issue FAQ.. Details zum Microsoft .NET Bounty Program stehen unter https://aka.ms/corebounty. bereit.
- Support: Fragen können in den GitHub-Repositories der .NET-Organisation unter https://github.com/dotnet/runtime. gestellt werden. Das Announcements-Repository (https://github.com/dotnet/Announcements) enthält einen entsprechenden Diskussions-Thread.
- Externe Links: CVE-2026-96960
- Danksagungen: Coşkun Bağrıaçık; Dr.-Ing Ashar Javed (@soaj1664ashar)
- Revisionen: V1.0 (10/13/2026): Veröffentlichung der Sicherheitsmeldung.
- Haftungsausschluss: Die in dieser Warnmeldung bereitgestellten Informationen werden „wie besehen“ ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft lehnt jegliche Gewährleistung ab.
Was zu tun ist
Zur Behebung des Problems werden die folgenden Schritte empfohlen:
- Installieren Sie die neueste Version von .NET. Falls Sie mindestens ein .NET SDK über Visual Studio installiert haben, fordert Visual Studio Sie zu einer Aktualisierung auf, wodurch auch die .NET SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf ein betroffenes Paket verweist, aktualisieren Sie die Paket-Referenz auf die gepatchte Version. Installierte Versionen können mit dem Befehl
dotnet --infoaufgelistet werden.
Starten Sie nach der Installation der aktualisierten Runtime bzw. des SDKs Ihre Anwendungen neu, damit die Änderungen wirksam werden.
Falls Sie eigenständige Anwendungen (self-contained applications) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind diese ebenfalls verwundbar und müssen neu kompiliert und erneut bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.5, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.5, 9.0.21 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Schwäche (CWE)
CWE-405- Plattform
- .NET (NuGet)
- Paket
System.Security.Cryptography.Xml- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 19:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-7hqp-7c5m-4vq6 - CC BY 4.0
Schwachstellenhistorie: System.Security.Cryptography.Xml
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 14
- Erste → letzte
- 10.2018 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 13
- Mittel 1
Veröffentlichungen pro Jahr
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Microsoft-Sicherheitshinweis CVE-2026-96960 – Denial-of-Service-Schwachstelle in .NET und Visual Studio dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.