Microsoft Emergency .NET 10.0.7 Update zur Behebung einer Rechteausweitungsschwachstelle

Während der Untersuchung dieser Berichte entdeckten Microsoft-Ingenieure ein tieferes und ernsteres Problem, eine Sicherheitsregression, die eine ausnutzbare Schwachstelle in allen Versionen des Pakets von 10.0.0 bis 10.0.6 einführte.

Dringendes.NET 10.0.7 Update Der Fehler ist als CVE-2026-40372 verfolgt und befindet sich im verwalteten authentifizierten Kryptografierzeuger (managed authenticated encryptor) innerhalb des Pakets Microsoft.AspNetCore.DataProtection.

In betroffenen Versionen konnte der Verschlüsseler seinen HMAC (Hash-based Message Authentication Code) Validierungs-Tag über falsche Bytes der Nutzlast berechnen und anschließend den berechneten Hash verwerfen.

Diese kryptografische Fehlbehandlung könnte es einem Angreifer ermöglichen, geschützte Daten auf Weise zu manipulieren, die die Integritätsprüfung umgehen, was zu einer Rechteausweitung führt.

Der Fehler untergräbt effektiv eine Kernsicherheitsgarantie des Data Protection Stacks, einem Framework, das weithin für die Verschlüsselung, Tokens und sensiblem Anwendungszustand genutzt wird.