Microsoft Emergency .NET 10.0.7 Update zur Behebung einer Rechteausweitungsschwachstelle

Microsoft hat ein dringendes, außerplanmäßiges (Out-of-Band, OOB) Sicherheitsupdate für .NET 10 veröffentlicht und damit die Version 10.0.7 am 21.

April 2026 herausgebracht, um eine kritische Schwachstelle zur Erhöhung v Microsoft hat ein dringendes, außerplanmäßiges (Out-of-Band, OOB) Sicherheitsupdate für .NET 10 veröffentlicht und damit die Version 10.0.7 am 21.

April 2026 herausgebracht, um eine kritische Schwachstelle zur Erhöhung von Privilegien zu beheben, die im NuGet-Paket Microsoft.AspNetCore.DataProtection entdeckt wurde.

Mögliche Anwendungen

Die außerplanmäßige Veröffentlichung wurde erforderlich, nachdem Kunden Berichte über Entschlüsselungsfehler in ihren ASP.NET Core-Anwendungen nach dem standardmäßigen Patch Tuesday .NET 10.0.6 Update meldeten. Diese Probleme wurden öffentlich in ASP.NET Core Issue #66335 verfolgt, wo betroffene Entwickler weit verbreitete Entschlüsselungsrückgänge meldeten.

Während der Untersuchung dieser Berichte entdeckten Microsoft-Ingenieure ein tieferes und ernsteres Problem, eine Sicherheitsregression, die eine ausnutzbare Schwachstelle in allen Versionen des Pakets von 10.0.0 bis 10.0.6 einführte.

Dringendes .NET 10.0.7 Update Der Fehler ist als CVE-2026-40372 verfolgt und befindet sich im verwalteten authentifizierten Kryptografierzeuger (managed authenticated encryptor) innerhalb des Pakets Microsoft.AspNetCore.DataProtection.

In betroffenen Versionen konnte der Verschlüsseler

In betroffenen Versionen konnte der Verschlüsseler seinen HMAC (Hash-based Message Authentication Code) Validierungs-Tag über falsche Bytes der Nutzlast berechnen und anschließend den berechneten Hash verwerfen.

Diese kryptografische Fehlbehandlung könnte es einem Angreifer ermöglichen, geschützte Daten auf Weise zu manipulieren, die die Integritätsprüfung umgehen, was zu einer Rechteausweitung führt.

Der Fehler untergräbt effektiv eine Kernsicherheitsgarantie des Data Protection Stacks von ASP.

NET Core, einem Framework, das weithin für die Verschlüsselung von Cookies, Tokens und sensiblem Anwendungszustand genutzt wird.