Microsoft-Sicherheitsleitfaden CVE-2026-70007 – Sicherheitslücke bezüglich Remotecodeausführung in .NET und Visual Studio

Zusammenfassung

Microsoft hat einen Sicherheitsleitfaden zu einer Sicherheitslücke in Microsoft.WindowsDesktop.App.Runtime (WPF) veröffentlicht. Speziell gestalteter WPF-Pixel-Shader-Bytecode kann die beiden Parsing-Durchläufe in CPSTrans::Initialize desynchronisieren und so zu Out-of-Bounds-Schreib- oder Lesevorgängen auf dem Heap führen.

Ankündigung

Die offizielle Mitteilung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/450 verfügbar.

CVSS-Details

• Version: 3.1
• Schweregrad: Hoch
• Bewertung: 8.8
• Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• Schwäche: CWE-787 (Out-of-bounds Write)

Betroffene Plattformen

• Plattformen: Windows
• Architekturen: Alle

Betroffene Pakete

Diese Sicherheitslücke betrifft Microsoft .NET-Projekte, die eine der nachfolgend aufgeführten Paketversionen verwenden:

Häufig gestellte Fragen (FAQ)

Woher weiß ich, ob ich betroffen bin?

Wenn Sie ein in der Tabelle der betroffenen Pakete aufgeführtes Paket verwenden, sind Sie von der Sicherheitslücke betroffen.

Wie behebe ich das Problem?

• 1. Installieren Sie die neueste Version von .NET, um das Problem zu beheben. Falls Sie ein oder mehrere .NET-SDKs über Visual Studio installiert haben, fordert Visual Studio Sie zu einem Update auf, wodurch auch die .NET-SDKs aktualisiert werden.
• 2. Wenn Ihre Anwendung auf das betroffene Paket verweist, aktualisieren Sie den Paketverweis auf die gepatchte Version. Die installierten Versionen können mit dem Befehl dotnet --info überprüft werden.

Starten Sie nach der Installation der aktualisierten Laufzeit oder des SDKs Ihre Anwendungen neu, damit das Update wirksam wird.

Zudem sind bereitgestellte eigenständige Anwendungen (self-contained applications)), die auf eine der betroffenen Versionen abzielen, ebenfalls anfällig und müssen neu kompiliert sowie erneut bereitgestellt werden.

Weitere Informationen

Melden von Sicherheitsproblemen

Wenn Sie ein mögliches Sicherheitsproblem in einer unterstützten .NET-Version entdecken, melden Sie es bitte über das MSRC Researcher Portal.) an das Microsoft Security Response Center (MSRC). Weitere Informationen finden Sie in den FAQ zur Problemmeldung des MSRC.).

Über das MSRC eingereichte Berichte können sich für das Microsoft .NET Bounty-Programm qualifizieren. Details und Teilnahmebedingungen finden Sie unter https://aka.ms/corebounty..

Support

Fragen zu diesem Problem können auf GitHub in der .NET-Organisation gestellt werden. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält diese Meldung als Issue mit einem Verweis auf einen zugehörigen Diskussionsbeitrag.

Haftungsausschluss

Die in dieser Mitteilung enthaltenen Informationen werden „wie besehen“ ohne jegliche Gewährleistung bereitgestellt. Microsoft schließt alle Garantien, ob ausdrücklich oder stillschweigend, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck, aus. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden gleich welcher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderer Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden.

Externe Links

• CVE-2026-70007)

Danksagungen

• phrolo7a
• Muhammad Abdul Rehman
• SOMESH SONUNE
• Matheus Siqueira
• thegoldmandm
• Aobo Wang (@m4x_1997)
• Mateusz Gierblinski mit Curios (https://curios-it.eu/))
• m0ssser (https://m0ssser-portfolio.pages.dev/))
• Alex Hannah

Revisionen

V1.0 (10/13/2026): Hinweis veröffentlicht.