Aviso de seguridad de Microsoft CVE-2026-70179: vulnerabilidad de elevación de privilegios en ASP.NET Core
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.AspNetCore.Authentication.Negotiate, así como instrucciones para actualizar las aplicaciones afectadas.
La autenticación LDAP Negotiate de ASP.NET Core puede asociar una identidad autenticada con una entidad de seguridad LDAP no deseada cuando el resultado de LDAP no se verifica contra el SID de la entidad de seguridad Kerberos.
Anuncio
El anuncio sobre este problema se encuentra disponible en https://github.com/dotnet/announcements/issues/458.
Detalles de CVSS
- Versión: 3.1
- Gravedad: Alta
- Puntuación: 7.5
- Vector:
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H - Debilidad: CWE-290 (Authentication Bypass by Spoofing)
Plataformas afectadas
- Plataformas: Windows, Linux, macOS cuando la resolución de notificaciones (claims) de LDAP está habilitada
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones indicadas a continuación:
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.AspNetCore.Authentication.Negotiate) | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Preguntas frecuentes del aviso
¿Cómo sé si estoy afectado?
Si su aplicación utiliza una versión de paquete listada en la tabla de paquetes afectados, está expuesta a la vulnerabilidad.
¿Cómo soluciono el problema?
- Instale la versión más reciente de .NET. Si ha instalado SDK de .NET a través de Visual Studio, este le solicitará una actualización que también actualizará los SDK.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia a la versión parcheada. Puede consultar las versiones instaladas ejecutando el comando
dotnet --info.
Tras instalar el entorno de ejecución o el SDK actualizado, reinicie sus aplicaciones para que los cambios surtan efecto.
Además, las aplicaciones independientes (self-contained)) que utilicen las versiones afectadas deben recompilarse y reimplementarse.
Otra información
Informar problemas de seguridad
Si encuentra un problema de seguridad en una versión compatible de .NET, notifíquelo al Centro de respuestas de seguridad de Microsoft (MSRC) mediante el Portal de investigadores de MSRC.). Encontrará más información en las Preguntas frecuentes sobre informes de incidentes de MSRC.).
Los informes válidos pueden calificar para el Programa de recompensas de Microsoft .NET, cuyos términos se detallan en https://aka.ms/corebounty..
Soporte
Puede realizar consultas sobre este incidente en la organización de .NET en GitHub. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio de anuncios en https://github.com/dotnet/Announcements) contiene este boletín como un issue con un enlace al hilo de debate correspondiente.
Descargo de responsabilidad
La información facilitada en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a cualquier garantía expresa o implícita, incluidas las de comerciabilidad e idoneidad para un fin específico.
Enlaces externos
Agradecimientos
- thegoldmandm
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
Actualice las referencias al paquete Microsoft.AspNetCore.Authentication.Negotiate a las versiones corregidas, instale el SDK o runtime de .NET más reciente, reinicie las aplicaciones y vuelva a compilar y desplegar las aplicaciones autónomas.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.Authentication.Negotiate | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21 | 10.0.13, 8.0.32, 9.0.21 |
Referencias
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-vrrp-6v32-2p8g
- https://github.com/dotnet/announcements/issues/458
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69794
- https://nvd.nist.gov/vuln/detail/CVE-2026-70179
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70179
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-290- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.AspNetCore.Authentication.Negotiate- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-vrrp-6v32-2p8g - CC BY 4.0
Historial de vulnerabilidades: Microsoft.AspNetCore.Authentication.Negotiate
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 07.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 3
Divulgaciones por año
- 2026: 3
-
Aviso de seguridad de Microsoft CVE-2026-70179: vulnerabilidad de elevación de privilegios en ASP.NET Core esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.