Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Zusammenfassung
Unser Sicherheitsforschungsteam hat festgestellt, dass die kürzlich bekannt gewordene Sicherheitslücke CVE-2025-24070, eine Schwachstelle bei der Erhöhung von Berechtigungen in ASP.NET Core, auch .NET 6-Anwendungen betrifft, obwohl sie im offiziellen Sicherheitshinweis von Microsoft nicht erwähnt wird. Im Rahmen unseres Endless Lifecycle Support (ELS)-Programms für .NET 6, das langfristige End-of-Life-Patches bereitstellt, haben wir diese Schwachstelle gründlich analysiert und einen Patch entwickelt, der dieses Problem für unsere Kunden behebt, die noch mit dieser Plattform arbeiten.
Die Anfälligkeit verstehen
CVE-2025-24070 wird als Sicherheitsanfälligkeit mit hohem Schweregrad (CVSS v3 score: 7.0) eingestuft, die in ASP.NET Core-Anwendungen besteht. Die Sicherheitsanfälligkeit bezieht sich auf die RefreshSignInAsync Methode, die es einem Angreifer ermöglichen könnte, sich als das Konto eines anderen Benutzers auszugeben, was zu einer unbefugten Erhöhung der Berechtigungen führt.
Diese Sicherheitsanfälligkeit ermöglicht es einem Angreifer, die Funktion RefreshSignInAsync aufzurufen und einen anderen Benutzerparameter als den aktuell authentifizierten zu übergeben, wobei ASP.NET Core diese Anforderung akzeptiert. Diese Sicherheitslücke kann von einem entfernten Standort aus ausgenutzt werden und könnte zu erheblichen Sicherheitslücken in den betroffenen Anwendungen führen.
Betroffene Versionen
In der Empfehlung von Microsoft werden ausdrücklich ASP.NET Core 9.0, ASP.NET Core 8.0 und ASP.NET Core 2.3 als betroffene Versionen genannt, da dies die Versionen sind, die derzeit offiziell von Microsoft unterstützt werden. Unsere Untersuchung bestätigt, dass .NET 6-Anwendungen in ähnlicher Weise anfällig sind.
Offiziell dokumentierte betroffene Versionen sind:
- ASP.NET Core 9.0.2 und früher
- ASP.NET Core 8.0.13 und früher
- ASP.NET Core 2.3.0 und früher
Unser Zusatz: .NET 6-Anwendungen mit den ASP.NET Core Identity-Komponenten
Technische Details
Die Schwachstelle besteht im Authentifizierungsmechanismus von ASP.NET Core, insbesondere in der SignInManager Klasse bei der Behandlung der RefreshSignInAsync Methode. Die Sicherheitsanfälligkeit erlaubt es der RefreshSignInAsync Methode einen Benutzerparameter akzeptieren, der nicht mit dem aktuell authentifizierten Benutzer übereinstimmt.
Unter normalen Umständen sollte das Aktualisieren einer Anmeldung nur für den aktuell authentifizierten Benutzer funktionieren. Aufgrund der unzureichenden Validierung könnte ein Angreifer jedoch:
- Erhalten Sie eine gültige Authentifizierungssitzung
- Aufruf von RefreshSignInAsync mit Parametern für ein anderes Benutzerkonto
- ihre Berechtigungen erfolgreich auf die des angegebenen Kontos zu erhöhen
Der von Microsoft für unterstützte Versionen implementierte Patch ändert die RefreshSignInAsync Methode, um zu überprüfen, ob die Benutzer-ID des übergebenen Benutzerparameters mit der Benutzer-ID des aktuell authentifizierten Benutzers übereinstimmt. Wenn sie nicht übereinstimmen, schlägt der Vorgang stillschweigend fehl (in Patch-Versionen) oder löst eine Ausnahme aus (in neueren Versionen).
Unsere Lösung für .NET 6-Benutzer
Im Rahmen unseres Engagements für die Bereitstellung von Endless Lifecycle Support für .NET 6, haben wir:
- Entwicklung eines Sicherheitspatches, das den gleichen Schutz für .NET 6-Anwendungen bietet
- Dieser Patch wurde gründlich getestet, um sowohl Sicherheit als auch Kompatibilität zu gewährleisten.
- Sofortige Bereitstellung für alle unsere Kunden, die unseren Support-Plan in Anspruch nehmen
Unser Patch implementiert die gleichen Sicherheitsprüfungen, die Microsoft zu den unterstützten Versionen hinzugefügt hat, und stellt sicher, dass RefreshSignInAsync die Anmeldung nur für den aktuell authentifizierten Benutzer aktualisieren kann. Dies ist besonders wichtig, da .NET 6 und .NET 7 bereits das Ende ihrer Lebensdauer erreicht haben und offizielle Sicherheitsupdates von Microsoft für diese Anwendungen nicht mehr verfügbar sind.
Empfohlene Maßnahmen
Wenn Sie .NET 6-Anwendungen ausführen, empfehlen wir Ihnen dringend, die folgenden Maßnahmen zu ergreifen:
- Wenden Sie sofort unseren Sicherheitspatch an zum Schutz vor einer möglichen Ausnutzung
- Überprüfen Sie den Authentifizierungscode Ihrer Anwendung, insbesondere alle benutzerdefinierten Implementierungen, die RefreshSignInAsync
- Implementierung einer angemessenen Protokollierung zur Erkennung potenzieller Ausbeutungsversuche
So erhalten Sie den Fix
Kunden, die an unserem Endless Lifecycle Support-Programm teilnehmen, können das Sicherheits-Patch aus unserem Repository herunterladen. Das Update kann mit minimaler Ausfallzeit angewendet werden und erfordert keine Änderungen am Anwendungscode.
Sie sind noch kein Kunde? Hier erfahren Sie mehr über unseren Endless Lifecycle Support für Legacy-.NET hier.
Abschließende Überlegungen
Diese Entdeckung unterstreicht, wie wichtig es ist, den Support für Frameworks zu verlängern, deren Hersteller das Ende ihrer Lebensdauer erreicht haben, die aber weiterhin weit verbreitet sind. Unser Sicherheitsforschungsteam ist weiterhin wachsam bei der Identifizierung von Schwachstellen, die alle Versionen von .NET betreffen, unabhängig von ihrem offiziellen Support-Status.
Durch die Bereitstellung von Sicherheitspatches für .NET 6 helfen wir Unternehmen, einen sicheren Betrieb aufrechtzuerhalten und gleichzeitig ihre Migrationsstrategie so zu planen, dass sie für das Unternehmen sinnvoll ist.
CVE-2025-24070 | CVSS v3 Score: 7.0 (Hoch) | 25. März 2025
