Biuletyn bezpieczeństwa Microsoft CVE-2026-70179 — luka w zabezpieczeniach ASP.NET Core umożliwiająca podniesienie uprawnień
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie
Firma Microsoft opublikowała biuletyn bezpieczeństwa zawierający informacje o luce w pakiecie Microsoft.AspNetCore.Authentication.Negotiate wraz ze wskazówkami dotyczącymi aktualizacji aplikacji w celu usunięcia zagrożenia.
Uwierzytelnianie LDAP Negotiate w ASP.NET Core może powiązać uwierzytelnioną tożsamość z niezamierzonym podmiotem LDAP, jeśli wynik zapytania LDAP nie zostanie zweryfikowany względem identyfikatora SID podmiotu Kerberos.
Ogłoszenie
Ogłoszenie dotyczące tej kwestii jest dostępne pod adresem https://github.com/dotnet/announcements/issues/458.
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Wysoka
- Wynik: 7.5
- Wektor:
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H - Słabość: CWE-290 (Authentication Bypass by Spoofing)
Platformy objęte podatnością
- Platformy: Windows, Linux, macOS z włączonym rozpoznawaniem oświadczeń LDAP
- Architektury: Wszystkie
Pakiety objęte podatnością
Podatność dotyczy projektów Microsoft .NET korzystających z poniższych wersji pakietów:
| Nazwa pakietu | Podatna wersja | Wersja załatana |
|---|---|---|
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Często zadawane pytania (FAQ)
Jak sprawdzić, czy problem mnie dotyczy?
Jeśli aplikacja korzysta z wersji pakietu wymienionej w tabeli podatnych pakietów, jest narażona na tę lukę.
Jak naprawić ten problem?
- Zainstaluj najnowszą wersję platformy .NET. W przypadku zestawów .NET SDK zainstalowanych za pośrednictwem Visual Studio, program wyświetli monit o aktualizację, co zaktualizuje również pakiety SDK.
- Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj referencję do wersji załatanej. Zainstalowane wersje można wyświetlić za pomocą polecenia
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub SDK należy zrestartować aplikacje, aby zmiany weszły w życie.
Ponadto aplikacje autonomiczne (self-contained)) korzystające z wersji objętych usterką muszą zostać ponownie skompilowane i wdrożone.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
Potencjalne luki w obsługiwanych wersjach platformy .NET można zgłaszać do centrum Microsoft Security Response Center (MSRC) za pośrednictwem Portalu dla badaczy MSRC.). Szczegóły można znaleźć w sekcji FAQ zgłaszania problemów MSRC.).
Zgłoszenia mogą kwalifikować się do programu Microsoft .NET Bounty, którego warunki opisano na stronie https://aka.ms/corebounty..
Wsparcie
Pytania można zadawać w organizacji .NET w serwisie GitHub. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium ogłoszeń pod adresem https://github.com/dotnet/Announcements) zawiera ten biuletyn w formie zgłoszenia z linkiem do dyskusji.
Zastrzeżenie
Informacje zawarte w tym biuletynie są dostarczane w stanie, w jakim się znajdują („as is”), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych i dorozumianych. W żadnym wypadku firma Microsoft ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody wynikowe lub bezpośrednie.
Linki zewnętrzne
Podziękowania
- thegoldmandm
Historia zmian
V1.0 (10/13/2026): Opublikowano biuletyn.
Co trzeba zrobić
Zaktualizuj pakiet Microsoft.AspNetCore.Authentication.Negotiate do załatanej wersji, zainstaluj najnowszy pakiet .NET SDK lub środowisko uruchomieniowe, zrestartuj aplikacje oraz ponownie skompiluj i wdróż aplikacje autonomiczne.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.Authentication.Negotiate | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21 | 10.0.13, 8.0.32, 9.0.21 |
Odnośniki
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-vrrp-6v32-2p8g
- https://github.com/dotnet/announcements/issues/458
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69794
- https://nvd.nist.gov/vuln/detail/CVE-2026-70179
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70179
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-290- Platforma
- .NET (NuGet)
- Paczka
Microsoft.AspNetCore.Authentication.Negotiate- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-vrrp-6v32-2p8g - CC BY 4.0
Historia podatności: Microsoft.AspNetCore.Authentication.Negotiate
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 07.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 3
Ujawnienia w latach
- 2026: 3
-
Biuletyn bezpieczeństwa Microsoft CVE-2026-70179 — luka w zabezpieczeniach ASP.NET Core umożliwiająca podniesienie uprawnień ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.