Komunikat bezpieczeństwa firmy Microsoft CVE-2026-70186 – luka typu Denial of Service w ASP.NET Core
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie wykonawcze
Firma Microsoft publikuje ten komunikat bezpieczeństwa, aby przedstawić informacje o podatności w pakiecie Microsoft.AspNetCore.Server.Kestrel.Core. Niniejszy komunikat zawiera także wskazówki dla programistów dotyczące aktualizacji aplikacji w celu wyeliminowania luki.
Nieuwierzytelniony zdalny atakujący może wysłać spreparowane sekwencje resetowania lub przerwania HTTP/3, które doprowadzają do zakleszczenia (deadlock) obsługi połączeń przez Kestrel. Wielokrotne żądania mogą prowadzić do nadmiernego tworzenia zablokowanych wątków i wyczerpania zasobów serwera, co skutkuje odmową usługi (denial of service).
Ogłoszenie
Ogłoszenie dotyczące tej kwestii można znaleźć pod adresem https://github.com/dotnet/announcements/issues/461
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Wysoka
- Wynik: 7.5
- Wektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Słabość: CWE-833 (Zakleszczenie / Deadlock)
Platformy objęte problemem
- Platformy: Windows, Linux, macOS z obsługą HTTP/3
- Architektury: Wszystkie
Pakiety objęte problemem
Luka dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej wersji pakietów.
Często zadawane pytania (FAQ)
Skąd mam wiedzieć, czy problem mnie dotyczy?
Jeśli używasz pakietu wymienionego na liście pakietów objętych problemem, aplikacja jest narażona na tę lukę.
Jak rozwiązać ten problem?
- Aby rozwiązać problem, zainstaluj najnowszą wersję platformy .NET. Jeśli zainstalowano co najmniej jeden zestaw .NET SDK za pośrednictwem programu Visual Studio, program Visual Studio wyświetli monit o aktualizację, co spowoduje również zaktualizowanie zestawów SDK .NET.
- Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj referencję pakietu do wersji załatanej. Listę zainstalowanych wersji można wyświetlić, uruchamiając polecenie
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego (runtime) lub pakietu SDK uruchom ponownie aplikacje, aby aktualizacja zaczęła obowiązywać.
Dodatkowo, jeśli wdrożono aplikacje autonomiczne (self-contained) ukierunkowane na którąkolwiek z wersji objętych problemem, aplikacje te są również podatne i wymagają ponownej kompilacji oraz ponownego wdrożenia.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem MSRC Researcher Portal.. Więcej informacji można znaleźć w sekcji Report an Issue FAQ. w witrynie MSRC.
Raporty dotyczące bezpieczeństwa przesyłane za pośrednictwem MSRC mogą kwalifikować się do programu nagród Microsoft .NET Bounty. Szczegółowe informacje dotyczące programu Microsoft .NET Bounty, w tym regulamin, znajdują się pod adresem https://aka.ms/corebounty..
Pomoc techniczna
Pytania dotyczące tej luki można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium ogłoszeń (https://github.com/dotnet/Announcements)) będzie zawierać niniejszy biuletyn w formie zgłoszenia (issue) wraz z linkiem do wątku dyskusyjnego, w którym można zadawać pytania.
Zrzeczenie się odpowiedzialności
Informacje zawarte w tym komunikacie są dostarczane w stanie „takim, w jakim są” (as is), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody specjalne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody następcze lub przypadkowe, więc powyższe ograniczenie może nie mieć zastosowania.
Linki zewnętrzne
Podziękowania
- Kevin Gosse
- Muhammad Abdul Rehman
Historia zmian
V1.0 (10/13/2026): Opublikowano komunikat.
Co trzeba zrobić
- Zainstaluj najnowszą wersję platformy .NET. W przypadku pakietów SDK zainstalowanych przez Visual Studio zaakceptuj monit o aktualizację środowiska.
- Zaktualizuj odwołanie do podatnego pakietu w projekcie do bezpiecznej wersji. Zainstalowane wersje można sprawdzić poleceniem
dotnet --info.
Po instalacji środowiska uruchomieniowego lub SDK zrestartuj aplikacje. Aplikacje autonomiczne (self-contained)) korzystające z podatnych wersji muszą zostać ponownie skompilowane i wdrożone.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x86 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
Odnośniki
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-mf4x-w4gh-4656
- https://github.com/dotnet/announcements/issues/461
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69797
- https://nvd.nist.gov/vuln/detail/CVE-2026-70186
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70186
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-833- Platforma
- .NET (NuGet)
- Paczka
Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64, Microsoft.AspNetCore.App.Runtime.linux-musl-arm- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-mf4x-w4gh-4656 - CC BY 4.0
Historia podatności: Microsoft.AspNetCore.App.Runtime.linux-arm
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 25
- Pierwsza → ostatnia
- 05.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 3
- Wysoka 19
- Średnia 3
Ujawnienia w latach
- 2022: 12
- 2023: 1
- 2024: 5
- 2025: 2
- 2026: 5
-
Komunikat bezpieczeństwa firmy Microsoft CVE-2026-70186 – luka typu Denial of Service w ASP.NET Core ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.