Microsoft stopft kritische Sicherheitslücke in ASP.NET Core für macOS und Linux

Kritische Lücke in ASP.NET Core ermöglicht SYSTEM-Zugriff

Microsoft hat ein Notfall-Update für ASP.NET Core veröffentlicht, um eine hochkritische Sicherheitslücke zu schließen. Die Schwachstelle mit der Kennung CVE-2026-40372 ermöglicht es unauthentifizierten Angreifern, SYSTEM-Rechte auf Geräten zu erlangen, die das Webentwicklungsframework für Linux- oder macOS-Anwendungen nutzen.

Betroffene Versionen und Ursache

Die Lücke betrifft die Versionen 10.0.0 bis 10.0.6 des NuGet-Pakets Microsoft.AspNetCore.DataProtection, das Teil des Frameworks ist. Der Fehler liegt in einer fehlerhaften Überprüfung von kryptografischen Signaturen. Dadurch können Angreifer Authentifizierungs-Payloads während des HMAC-Validierungsprozesses fälschen – ein Mechanismus zur Sicherstellung der Integrität und Authentizität von Daten zwischen Client und Server.

Gefahren trotz Patch

Während der Nutzung einer anfälligen Version des Pakets konnten Angreifer unauthentifiziert SYSTEM-Rechte erlangen und damit die Kontrolle über das betroffene System übernehmen. Selbst nach dem Einspielen des Patches bleiben Geräte gefährdet, sofern von Angreifern erstellte Authentifizierungsdaten nicht manuell entfernt werden.

Empfohlene Maßnahmen

• Sofortiges Einspielen des bereitgestellten Updates
• Überprüfung und Löschung potenziell kompromittierter Authentifizierungsdaten
• Prüfung der Systemprotokolle auf verdächtige Aktivitäten

Hintergrund

ASP.NET Core ist ein weit verbreitetes Webentwicklungsframework von Microsoft, das plattformübergreifend auf Windows, Linux und macOS eingesetzt wird. Die nun geschlossene Lücke unterstreicht die Bedeutung regelmäßiger Sicherheitsupdates, insbesondere bei Frameworks mit hoher Verbreitung in Entwicklerumgebungen.

„Die schnelle Reaktion von Microsoft zeigt, wie ernst die Lage war. Dennoch bleibt die manuelle Säuberung kompromittierter Systeme eine Herausforderung für Administratoren.“

— Sicherheitsexperte Dr. Anna Meier, Cybersecurity-Institut Berlin