Microsoft-Sicherheitshinweis CVE-2026-66822 – Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen in .NET und Visual Studio
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft hat einen Sicherheitshinweis zu einer Schwachstelle in System.Net.Http herausgegeben. SocketsHttpHandler kann bei einer HTTP-Weiterleitung einen Proxy-Authorization-Header beibehalten und grundlegende Proxy-Anmeldedaten an den Zielserver weitergeben.
Ankündigung
Die Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/448 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Moderat (Moderate)
- Punktzahl: 5.9
- Vektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N - Schwachstelle: CWE-201 (Einfügen sensibler Informationen in gesendete Daten)
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die eine der folgenden betroffenen Paketversionen verwenden:
Häufig gestellte Fragen (FAQ)
Woher weiß ich, ob ich betroffen bin?
Wenn Sie ein Paket verwenden, das in der obigen Liste der betroffenen Pakete aufgeführt ist, sind Sie von der Sicherheitsanfälligkeit betroffen.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET festgestellt haben, melden Sie es bitte dem Microsoft Security Response Center (MSRC) über das MSRC-Forscherportal.). Weitere Informationen finden Sie im MSRC FAQ zur Problemmeldung.).
Sicherheitsberichte über das MSRC können sich für das Microsoft .NET Bounty qualifizieren. Einzelheiten zum Microsoft .NET Bounty-Programm einschließlich der Bedingungen finden Sie unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können Sie auf GitHub in der .NET-GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält dieses Bulletin als Issue und verlinkt auf ein Diskussions-Issue, in dem Sie Fragen stellen können.
Haftungsausschluss
Die in diesem Hinweis bereitgestellten Informationen werden "wie besehen" und ohne Mängelgewähr zur Verfügung gestellt. Microsoft lehnt jegliche ausdrückliche oder stillschweigende Gewährleistung ab, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck. In keinem Fall haften Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art.
Externe Links
Danksagungen
- Ky0toFu (@ky0tofu)
- jhanks
- Lucas Futures
- Wenhan Zhou
- Weeraphat Srisutham
- Brent Woodard (@crusader_sec) bei Crusader Security, LLC (https://crusaderproxy.com/))
- Kevin Schmidt
- Piotr Pietruszewski
- Leandro Batista
- Raffaello Tamagnini
- Harkenzo
- Anonym
- Attila.Cs (zerodaybugs.com) bei https://zerodaybugs.com/
- l8BL bei ENKI WhiteHat (https://www.enki.co.kr/))
- caveeroo (https://caveeroo.dev/)) bei Tarlogic (https://www.tarlogic.com/))
Revisionen
V1.0 (10/13/2026): Sicherheitshinweis veröffentlicht.
Was zu tun ist
Um das Problem zu beheben, führen Sie folgende Schritte durch:
- Installieren Sie die neueste Version von .NET. Wenn Sie ein oder mehrere .NET-SDKs über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch Ihre .NET-SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf das betroffene Paket verweist, aktualisieren Sie den Paketverweis auf die korrigierte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Nachdem Sie die aktualisierte Runtime oder das SDK installiert haben, starten Sie Ihre Anwendungen neu, damit die Aktualisierung wirksam wird.
Wenn Sie eigenständige Anwendungen (self-contained)) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind diese Anwendungen ebenfalls anfällig und müssen neu kompiliert und bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
Verweise
- https://github.com/dotnet/runtime/security/advisories/GHSA-wxxw-5cvc-53j7
- https://github.com/dotnet/announcements/issues/448
- https://github.com/dotnet/runtime/issues/135697
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-66822
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-66822
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Schwäche (CWE)
CWE-201- Plattform
- .NET (NuGet)
- Paket
Microsoft.NETCore.App.Runtime.linux-arm, Microsoft.NETCore.App.Runtime.linux-arm64, Microsoft.NETCore.App.Runtime.linux-musl-arm- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-wxxw-5cvc-53j7 - CC BY 4.0
Schwachstellenhistorie: Microsoft.NETCore.App.Runtime.linux-arm
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 35
- Erste → letzte
- 09.2020 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 1
Verteilung nach Schweregrad
- Hoch 22
- Mittel 12
- Niedrig 1
Veröffentlichungen pro Jahr
- 2020: 1
- 2021: 0
- 2022: 6
- 2023: 5
- 2024: 4
- 2025: 5
- 2026: 14
-
Microsoft-Sicherheitshinweis CVE-2026-66822 – Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen in .NET und Visual Studio dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.