Der CERT-Bund hat in einer aktuellen Sicherheitsberatung eine kritische Schwachstelle in Microsoft ASP.NET veröffentlicht, die es einem entfernten, anonymen Angreifer ermöglicht, Privilegien auf betroffenen Systemen zu erhöhen.
Technische Beschreibung der Lücke
Die betroffene Komponente verarbeitet Anfragen ohne ausreichende Validierung, wodurch ein Angreifer speziell formatierte Daten einschleusen kann. Durch Ausnutzung dieser Logikfehler lässt sich ein Codeausführungsbefehl im Kontext höherer Rechte ausführen.
Potenzielle Auswirkungen
Ein erfolgreicher Angriff kann dazu führen, dass ein Angreifer administrative Rechte erlangt, sensible Daten einsehen oder Systemkonfigurationen ändern kann. Die Gefahr betrifft sowohl öffentliche Webserver als auch interne Anwendungen, die ASP.NET einsetzen.
Betroffene Versionen
Laut dem Advisory sind alle ASP.NET-Versionen bis einschließlich der von Microsoft zum Zeitpunkt der Veröffentlichung empfohlenen Updates betroffen. Eine genaue Auflistung der betroffenen Builds findet sich im vollständigen Bericht.
Empfohlene Gegenmaßnahmen
Der CERT-Bund rät Administratoren, die neuesten Sicherheitspatches von Microsoft zu installieren und betroffene Systeme kurzfristig zu isolieren, bis ein Update verfügbar ist. Zusätzlich sollten Netzwerkfilter konfiguriert werden, um verdächtige Anfragen zu blockieren.
Weiteres Vorgehen
Betreiber sollten das Sicherheitsbulletin WID-SEC-2026-1213 prüfen, um die erforderlichen Schritte zu planen. Der CERT-Bund stellt weitere Informationen
Ende der Uebertragung