Microsoft łata trzy poważne luki w .NET Aspire CLI

Microsoft ujawnił i naprawił trzy luki bezpieczeństwa o wysokiej istotności w stosie .NET Aspire CLI i Hosting 10 listopada 2026 roku, publikując pierwsze zgłoszenie jako Aspire Information Disclosure Vulnerability (CVE-2026-120792) w GitHub Advisory Database. Luki obejmują błąd ujawnienia informacji w przestarzałym skanerze konfiguracji MCP w Aspire CLI, lokalny błąd eskalacji uprawnień związany z niezabezpieczonymi uprawnieniami katalogu tymczasowego podczas operacji MSBuild oraz błąd powtórnego wykorzystania danych uwierzytelniających Dashboard, który można wykorzystać za pomocą złośliwego kontenera. Wszystkie trzy luki naprawiono w wersji 13.6.5.

Co się zmieniło

• CVE-2026-120792 (CVSS 7.3, CWE-532): przestarzały skaner konfiguracji MCP w Aspire CLI zapisuje zawartość konfiguracji w ustalonej, współdzielonej ścieżce katalogu tymczasowego na Linuksie i macOS, narażając ją na innych lokalnych użytkowników
• CVE-2026-120778 (CVSS 7.3, CWE-379): niezabezpieczone uprawnienia katalogu tymczasowego pozwalają lokalnemu atakującemu podłożyć pliki wykrywane przez mechanizm plików odpowiedzi MSBuild podczas aspire sdk generate/dump/export, co prowadzi do wykonania kodu jako deweloper na kompilacjach Linux (x64, arm64, musl-x64) i macOS (x64, arm64)
• CVE-2026-120006 (CVSS 7.5): dane uwierzytelniające Dashboard mogą zostać powtórnie wykorzystane przez kontener kontrolowany przez atakującego, co pozwala mu wykonać kod jako deweloper hosta w konfiguracjach macOS z uwierzytelnionym przez Dashboard AppHost i połączoną bramą HTTPS YARP
• Dotknięte pakiety: Aspire.Cli (NuGet) 13.2.0 do 13.6.4, @microsoft/aspire-cli (npm) 13.4.2 do 13.6.4 oraz Aspire.Hosting/Aspire.Hosting.AppHost w wersjach wcześniejszych niż 13.6.5
• Wszystkie trzy luki naprawiono w wersji 13.6.5, wydanej jednocześnie w NuGet i npm

Co to znaczy dla osób budujących z AI

.NET Aspire to stos deweloperski Microsoftu zorientowany na rozwiązania cloud-native, z wbudowanym narzędziem MCP, dlatego te luki mają największe znaczenie w środowiskach współdzielonych. Atakujący z dostępem do współdzielonej maszyny deweloperskiej, runnera CI lub złośliwego kontenera mógłby eskalować uprawnienia do poziomu dewelopera albo odczytać dane konfiguracyjne serwera MCP, które nigdy nie powinny opuścić lokalnej maszyny.

Zgłoszenia i dalsze kroki

Microsoft opublikował dwa kolejne zgłoszenia wraz z poprawką: Aspire Elevation of Privilege Vulnerability (CVE-2026-120778) oraz Aspire Elevation of Privilege Vulnerability (CVE-2026-120006), oba datowane na 10 listopada 2026 roku. Zespoły korzystające z pakietów Aspire CLI lub Hosting na współdzielonych maszynach lub runnerach CI powinny zaktualizować do wersji 13.6.5, aby usunąć wszystkie trzy problemy.

Źródła

• Aspire Information Disclosure Vulnerability (CVE-2026-120792) (GitHub Advisory Database / Microsoft, 10 listopada 2026, oficjalne)
• Aspire Elevation of Privilege Vulnerability (CVE-2026-120778) (GitHub Advisory Database / Microsoft, 10 listopada 2026, oficjalne)
• Aspire Elevation of Privilege Vulnerability (CVE-2026-120006) (GitHub Advisory Database / Microsoft, 10 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.