Microsoft-Sicherheitshinweis CVE-2026-70179 – Sicherheitsanfälligkeit in ASP.NET Core bezüglich Rechteerweiterung
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitshinweis, um über eine Sicherheitsanfälligkeit in Microsoft.AspNetCore.Authentication.Negotiate zu informieren und Entwicklern Anleitungen zur Behebung bereitzustellen.
Bei der Negotiate-LDAP-Authentifizierung in ASP.NET Core kann eine authentifizierte Identität einem unbeabsichtigten LDAP-Prinzipal zugeordnet werden, wenn das LDAP-Ergebnis nicht anhand der Kerberos-Prinzipal-SID überprüft wird.
Ankündigung
Die Ankündigung zu diesem Thema ist unter https://github.com/dotnet/announcements/issues/458 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Punktzahl: 7.5
- Vektor:
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H - Schwachstelle: CWE-290 (Authentication Bypass by Spoofing)
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS bei aktivierter LDAP-Claim-Auflösung
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die die nachfolgend aufgeführten Paketversionen verwenden:
| Paketname | Betroffene Version | Korrigierte Version |
|---|---|---|
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 9.0.0, <= 9.0.20 | 9.0.21 |
FAQ zum Sicherheitshinweis
Woran erkenne ich, ob ich betroffen bin?
Wenn ein in der Tabelle der betroffenen Pakete aufgeführtes Paket verwendet wird, besteht eine Gefährdung durch diese Schwachstelle.
Wie behebe ich das Problem?
- Installieren Sie die neueste Version von .NET. Wenn .NET SDKs über Visual Studio installiert wurden, fordert Visual Studio zu einer Aktualisierung auf, wodurch auch die SDKs aktualisiert werden.
- Wenn die Anwendung auf ein betroffenes Paket verweist, aktualisieren Sie die Paketverweise auf die korrigierte Version. Installierte Versionen können mit dem Befehl
dotnet --infoüberprüft werden.
Nach der Installation der aktualisierten Laufzeitumgebung oder des SDKs müssen Anwendungen neu gestartet werden, damit das Update wirksam wird.
Zusätzlich müssen selbstständige Anwendungen (self-contained)), die betroffene Versionen nutzen, neu kompiliert und bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Sicherheitsrelevante Probleme in unterstützten .NET-Versionen können über das MSRC-Forscherportal.) an das Microsoft Security Response Center (MSRC) gemeldet werden. Weitere Informationen finden Sie in den FAQ zur Problemübermittlung.).
Berechtigte Berichte können für das Microsoft .NET Bounty-Programm berücksichtigt werden; Bedingungen sind unter https://aka.ms/corebounty. einsehbar.
Support
Fragen können auf GitHub in der .NET-Organisation gestellt werden. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Ankündigungs-Repository unter https://github.com/dotnet/Announcements) enthält diesen Hinweis als Issue mit einem Link zu einem Diskussionsfaden.
Haftungsausschluss
Die in diesem Hinweis enthaltenen Informationen werden ohne Gewährleistung jeglicher Art zur Verfügung gestellt. Microsoft lehnt jegliche Gewährleistung ab, einschließlich der gesetzlichen Gewährleistung der Handelsüblichkeit und Eignung für einen bestimmten Zweck.
Externe Links
Danksagung
- thegoldmandm
Versionsverlauf
V1.0 (10/13/2026): Sicherheitshinweis veröffentlicht.
Was zu tun ist
Aktualisieren Sie die Abhängigkeit von Microsoft.AspNetCore.Authentication.Negotiate auf eine gepatchte Version, installieren Sie die neueste .NET-Version, starten Sie die Dienste neu und kompilieren bzw. verteilen Sie autonome Anwendungen neu.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.Authentication.Negotiate | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21 | 10.0.13, 8.0.32, 9.0.21 |
Verweise
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-vrrp-6v32-2p8g
- https://github.com/dotnet/announcements/issues/458
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69794
- https://nvd.nist.gov/vuln/detail/CVE-2026-70179
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70179
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-290- Plattform
- .NET (NuGet)
- Paket
Microsoft.AspNetCore.Authentication.Negotiate- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-vrrp-6v32-2p8g - CC BY 4.0
Schwachstellenhistorie: Microsoft.AspNetCore.Authentication.Negotiate
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 3
- Erste → letzte
- 07.2026 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 3
Veröffentlichungen pro Jahr
- 2026: 3
-
Microsoft-Sicherheitshinweis CVE-2026-70179 – Sicherheitsanfälligkeit in ASP.NET Core bezüglich Rechteerweiterung dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.