Wysoka

Doradztwo dotyczące bezpieczeństwa Microsoft CVE-2026-70159 – Podatność Denial of Service w ASP.NET Core

Ujawniono: 13.10.2026
Aktualizacja: 19.10.2026 19:17

Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.

Podsumowanie

Firma Microsoft publikuje to doradztwo dotyczące bezpieczeństwa, aby przekazać informacje o podatności w pakietach Microsoft.AspNetCore.SignalR.Common oraz Microsoft.AspNetCore.SignalR.Core. Dokument ten zawiera również wskazówki dla deweloperów dotyczące aktualizacji aplikacji w celu usunięcia tego zagrożenia.

Klienci SignalR korzystający ze stanowego ponownego łączenia mogą w nieskończoność blokować transmisje rozgłoszeniowe za pomocą mechanizmu backpressure w MessageBuffer.ResendAsync i przetrzymywać powiązane zasoby.

Komunikat

Oficjalny komunikat dotyczący tego problemu znajduje się pod adresem https://github.com/dotnet/announcements/issues/452.

Szczegóły CVSS

Wersja: 3.1
Ważność: Wysoka (High)
Wynik: 7.5
Wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość: CWE-770 (Przydział zasobów bez limitów lub dławienia)

Platformy objęte podatnością

Platformy: Windows, Linux, macOS
Architektury: Wszystkie

<a name="affected-packages"></a>Pakiety objęte podatnością

Podatność dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej wersji pakietów.

Nazwa pakietu	Wersja dotknięta podatnością	Wersja załatana
Microsoft.AspNetCore.SignalR.Common)	>= 10.0.0, <= 10.0.12	10.0.13
Microsoft.AspNetCore.SignalR.Core)	>= 1.0.0, <= 1.2.13	1.2.14
Microsoft.AspNetCore.SignalR.Common)	>= 11.0.0-preview.5, <= 11.0.0-rc.1	11.0.0-rc.2
Microsoft.AspNetCore.SignalR.Common)	>= 8.0.0, <= 8.0.31	8.0.32
Microsoft.AspNetCore.SignalR.Common)	>= 9.0.0, <= 9.0.20	9.0.21

Często zadawane pytania (FAQ)

<a name="how-affected"></a>Skąd mam wiedzieć, czy problem mnie dotyczy?

Jeśli używasz pakietu wymienionego w sekcji Pakiety objęte podatnością, Twój system jest podatny na to zagrożenie.

Inne informacje

Zgłaszanie problemów z bezpieczeństwem

Jeśli wykryto potencjalny problem bezpieczeństwa w obsługiwanej wersji .NET, prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem portalu MSRC Researcher Portal.). Dalsze informacje można znaleźć w sekcji MSRC Report an Issue FAQ.).

Zgłoszenia bezpieczeństwa przekazane do MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły i warunki programu są dostępne na stronie https://aka.ms/corebounty..

Wsparcie

Pytania dotyczące tego problemu można zadawać na platformie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium ogłoszeń (https://github.com/dotnet/Announcements)) będzie zawierać ten biuletyn w formie zgłoszenia (issue) wraz z linkiem do wątku dyskusyjnego, w którym można zadawać pytania.

Zrzeczenie się odpowiedzialności

Informacje zawarte w tym dokumencie są dostarczane w stanie „takim, w jakim są” (as is), bez jakichkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków lub szkody szczególne, nawet jeśli zostali poinformowani o możliwości ich wystąpienia. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody przypadkowe lub następcze, w związku z czym powyższe ograniczenie może nie mieć zastosowania.

Linki zewnętrzne

CVE-2026-70159)

Podziękowania

nono
Vincent55 Yang (https://vincent55.tw/))

Historia zmian

V1.0 (10/13/2026): Opublikowano doradztwo.

Co trzeba zrobić

<a name="how-fix"></a>Jak naprawić ten problem?

Aby usunąć problem, zainstaluj najnowszą wersję platformy .NET. Jeśli zainstalowano co najmniej jedno środowisko .NET SDK za pośrednictwem programu Visual Studio, wyświetli on monit o aktualizację, co spowoduje również aktualizację zestawów .NET SDK.
Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj referencję pakietu do załatanej wersji. Listę zainstalowanych wersji można wyświetlić, uruchamiając polecenie dotnet --info.

Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub zestawu SDK zrestartuj aplikacje, aby aktualizacja zaczęła działać.

Ponadto, jeśli wdrożono aplikacje autonomiczne (self-contained)) korzystające z wersji objętych podatnością, aplikacje te są również podatne i muszą zostać ponownie skompilowane oraz wdrożone.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
.NET (NuGet)	Microsoft.AspNetCore.SignalR.Common	>= 10.0.0, < 10.0.13, >= 11.0.0-preview.5, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21	10.0.13, 11.0.0-rc.2, 8.0.32, 9.0.21

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-770
Platforma: .NET (NuGet)
Paczka: Microsoft.AspNetCore.SignalR.Common
Ujawniono: 13.10.2026
Aktualizacja: 19.10.2026 19:17

Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.

OSV / GitHub Advisory Database - GHSA-334f-vvp4-7g6p - CC BY 4.0

Historia podatności: Microsoft.AspNetCore.SignalR.Common

Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację