CVE-2026-96959: уязвимость отказа в обслуживании в .NET
В Microsoft .NET выявлена уязвимость CVE-2026-96959, связанная с неограниченным выделением ресурсов. Неавторизованный атакующий может вызвать отказ в обслуживании по сети. Критичность оценивается как высокая (CVSS 7.5).
Подробности
Уязвимости присвоен идентификатор CVE-2026-96959, её базовый балл CVSS составляет 7.5, что соответствует высокому уровню опасности. Согласно описанию, проблема классифицируется как «выделение ресурсов без ограничений или регулирования» (Allocation of Resources Without Limits or Throttling). Это означает, что при обработке специально сформированных входных данных приложение может бесконтрольно потреблять память, процессорное время или иные ресурсы, что в итоге приводит к отказу в обслуживании. Атака не требует аутентификации и может быть проведена удалённо по сети, что повышает практическую ценность уязвимости для злоумышленников. Успешная эксплуатация способна нарушить доступность сервисов, построенных на затронутых версиях платформы. В перечень затронутых продуктов входят: - Microsoft .NET Framework 3.5; - Microsoft .NET Framework 3.5 в сочетании с 4.6.2/4.7/4.7.1/4.7.2; - Microsoft .NET Framework 3.5 в сочетании с 4.7.2; - Microsoft .NET Framework 3.5 в сочетании с 4.8; - Microsoft .NET Framework 3.5 в сочетании с 4.8.1; - Microsoft .NET Framework 4.6.2/4.7/4.7.1/4.7.2; - Microsoft .NET Framework 4.8; - Microsoft .NET Framework 4.8.1; - Microsoft System.Security.Cryptography.Xml.Что делать
Основная рекомендация — установить обновления безопасности, выпущенные Microsoft для перечисленных версий .NET Framework и библиотеки System.Security.Cryptography.Xml. Поскольку уязвимость связана с неограниченным потреблением ресурсов, организациям следует оперативно проверить наличие применимых патчей в центре обновления Windows и в каналах распространения .NET. До момента установки исправлений можно применять компенсирующие меры: ограничить сетевой доступ к сервисам, обрабатывающим недоверенный ввод, настроить лимиты на потребление памяти и процессорного времени, а также усилить мониторинг аномальной нагрузки. Если компонент System.Security.Cryptography.Xml не используется в приложении, целесообразно рассмотреть возможность его исключения из сборки. Итог: CVE-2026-96959 представляет серьёзную угрозу доступности для организаций, эксплуатирующих затронутые версии .NET. Приоритет устранения — высокий, поскольку эксплуатация не требует авторизации и возможна удалённо. Своевременное обновление и базовые меры сетевой защиты позволят снизить риск отказа в обслуживании.Источник: CVE Project (cvelistV5)