CVE-2023-38180
Microsoft .NET Core and Visual Studio Denial-of-Service Vulnerability
Beschreibung
CVE-2023-38180 ist eine Denial-of-Service-Schwachstelle (DoS) in Microsoft .NET und Visual Studio, die auf unkontrollierten Ressourcenverbrauch zurückzuführen ist. Diese Sicherheitslücke betrifft .NET, ASP.NET Core und Visual Studio 2022 und ermöglicht es einem Angreifer, die Verfügbarkeit der betroffenen Anwendungen zu beeinträchtigen. Die CISA hat CVE-2023-38180 in ihren KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Obwohl der CVSS-Score von 7.5 (HIGH) keine Kompromittierung von Vertraulichkeit oder Integrität anzeigt, kann die Denial-of-Service-Schwachstelle geschäftskritische Anwendungen, die auf .NET basieren, vollständig lahmlegen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | .net | >= 6.0.0, < 6.0.21; >= 7.0.0, < 7.0.10 |
| microsoft | asp.net core | >= 2.1, < 2.1.40 |
| microsoft | visual studio 2022 | >= 17.2.0, < 17.2.18; >= 17.4.0, < 17.4.10; >= 17.6.0, < 17.6.6 |
| fedoraproject | fedora | 37; 38 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38180(Patch, Vendor Advisory)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/CL2L4WE5QRT7WEXANYXSKSU43APC5N2V/(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/NWVZFKTLNMNKPZ755EMRYIA6GHFOWGKY/(Mailing List)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-38180(US Government Resource)
Schwachstellentyp
CWE-400: Uncontrolled Resource Consumption
Bei CVE-2023-38180 liegt ein unkontrollierter Ressourcenverbrauch in .NET und Visual Studio vor. Die Schwachstelle ermöglicht es einem Angreifer, durch speziell gestaltete Anfragen übermäßig viele Systemressourcen zu beanspruchen, was dazu führt, dass die Anwendung nicht mehr reagiert oder abstürzt. In .NET-basierten Webanwendungen kann dies den gesamten Dienst für legitime Benutzer unzugänglich machen.
Mehr erfahren: CWE-400 — Uncontrolled Resource Consumption
Auswirkungsanalyse
CVE-2023-38180 in Microsoft .NET und Visual Studio ist mit einem CVSS-Score von 7.5 (HIGH) bewertet und stellt ein signifikantes Risiko für die Verfügbarkeit betroffener Anwendungen dar. Angriffsvektor (Netzwerk): Die Schwachstelle ist aus der Ferne über das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Voraussetzungen. Keine Authentifizierung erforderlich: Ein Angreifer benötigt keinerlei gültige Zugangsdaten. Keine Benutzerinteraktion erforderlich: Der Angriff kann ohne Zutun eines Benutzers erfolgen. Verfügbarkeit (Hoch): Die Schwachstelle ermöglicht eine vollständige Störung der Dienstverfügbarkeit, was bei geschäftskritischen .NET-Anwendungen zu erheblichen Betriebsunterbrechungen führen kann. Vertraulichkeit und Integrität (Keine Auswirkung): Es werden keine Daten kompromittiert oder manipuliert — der Angriff zielt ausschließlich auf die Dienstverfügbarkeit ab.
Exploit-Reifegrad
CVE-2023-38180 wird aktiv in freier Wildbahn ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog bestätigt. Obwohl der EPSS-Score mit 0,9 % vergleichsweise niedrig ist, hat die CISA die aktive Ausnutzung bestätigt, was sofortiges Handeln erfordert. In den verfügbaren Referenzen sind keine öffentlichen Exploit-Codes direkt verlinkt, jedoch stellt Microsoft über das MSRC Security Update Guide detaillierte Informationen zur Schwachstelle bereit. Die Tatsache, dass keine Authentifizierung für den Angriff erforderlich ist, senkt die Hürde für potenzielle Angreifer erheblich.
Behebung
- Herstellerempfehlung umsetzen: Gemäß der CISA KEV-Anforderung (Frist: 30.08.2023) sind die Maßnahmen des Herstellers umzusetzen oder das Produkt außer Betrieb zu nehmen. Microsoft stellt Sicherheitsupdates über das MSRC Security Update Guide bereit.
- Betroffene Produkte aktualisieren: Aktualisieren Sie Microsoft .NET, ASP.NET Core und Visual Studio 2022 auf die neuesten gepatchten Versionen. Prüfen Sie auch Fedora-Systeme, auf denen .NET-Pakete installiert sind, und wenden Sie die entsprechenden Paketaktualisierungen an.
- Ressourcenlimits konfigurieren: Implementieren Sie Ratenbegrenzung und Anfragelimits auf Anwendungs- und Infrastrukturebene, um den unkontrollierten Ressourcenverbrauch zu begrenzen. Konfigurieren Sie Timeouts und maximale Verbindungslimits für .NET-Anwendungen.
- Überwachung einrichten: Implementieren Sie Monitoring für ungewöhnliche Ressourcenauslastung (CPU, Speicher, Netzwerk) bei .NET-basierten Anwendungen. Konfigurieren Sie Alarme bei Denial-of-Service-Mustern und überwachen Sie die Anwendungsverfügbarkeit aktiv.
- Hochverfügbarkeit sicherstellen: Setzen Sie Lastverteilung und redundante Instanzen für geschäftskritische .NET-Anwendungen ein, um die Auswirkungen eines erfolgreichen DoS-Angriffs zu minimieren.
Technische Details
CVE-2023-38180 basiert auf unkontrolliertem Ressourcenverbrauch (CWE-400) in der .NET-Laufzeitumgebung und Visual Studio. Die Schwachstelle ermöglicht es einem Angreifer, über das Netzwerk (CVSS-Vektor AV:N) speziell gestaltete Anfragen zu senden, die einen übermäßigen Verbrauch von Systemressourcen wie CPU oder Speicher verursachen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H zeigt, dass der Angriff ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) bei niedriger Komplexität (AC:L) durchführbar ist, wobei ausschließlich die Verfügbarkeit (A:H) betroffen ist. Da Vertraulichkeit (C:N) und Integrität (I:N) nicht beeinträchtigt werden, handelt es sich um eine reine Denial-of-Service-Schwachstelle, bei der kein Datenzugriff oder keine Datenmanipulation erfolgt. Betroffen sind mehrere Microsoft-Produkte, darunter .NET, ASP.NET Core und Visual Studio 2022, sowie Fedora-Distributionen, die .NET-Pakete enthalten.
Häufig gestellte Fragen
Wird CVE-2023-38180 aktiv ausgenutzt?
Ja, CVE-2023-38180 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Obwohl der EPSS-Score mit 0,9 % relativ niedrig ist, bestätigt die CISA-Aufnahme die aktive Ausnutzung in der Praxis.
Welche Produkte sind von CVE-2023-38180 betroffen?
Betroffen sind Microsoft .NET, ASP.NET Core, Visual Studio 2022 sowie Fedora-Distributionen mit .NET-Paketen. Die Denial-of-Service-Schwachstelle betrifft mehrere Versionen dieser Produkte. Konsultieren Sie das Microsoft Security Update Guide für die genauen betroffenen Versionsbereiche.
Wie behebe ich CVE-2023-38180?
Aktualisieren Sie .NET, ASP.NET Core und Visual Studio 2022 umgehend auf die neuesten Sicherheitsupdates von Microsoft. Implementieren Sie zusätzlich Ratenbegrenzung und Ressourcenlimits für Ihre .NET-Anwendungen, um den Angriffsvektor einzuschränken.
Wie schwerwiegend ist CVE-2023-38180?
CVE-2023-38180 hat einen CVSS-Score von 7.5 (HIGH) und ermöglicht unauthentifizierte Denial-of-Service-Angriffe. Obwohl keine Daten kompromittiert werden, kann die Schwachstelle geschäftskritische .NET-Anwendungen vollständig lahmlegen, was erhebliche Betriebsunterbrechungen verursachen kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.