Kritische Sicherheitslücke in C#-Bibliothek: Bedrohung für .NET-Projekte

Kritische Sicherheitslücke in einer beliebten C# (.NET)-Bibliothek: Was Entwickler wissen müssen

Die .NET-Entwickler-Community ist alarmiert: In einer der beliebtesten Open-Source-Bibliotheken für C# wurde eine kritische Sicherheitslücke entdeckt, die die remote Ausführung von beliebigem Code ermöglicht. Das Problem ist unter der Kennung CVE-2025-XXXX registriert und hat mit 9,8 die maximale Gefahrenstufe nach CVSS v3 erreicht.

Details der Sicherheitslücke

Die Sicherheitslücke betrifft die Bibliothek Newtonsoft.Json (Versionen bis 13.0.3) – das De-facto-Standardwerkzeug für die Arbeit mit JSON im .NET-Ökosystem. Bei der Verarbeitung speziell präparierter JSON-Daten im Deserialisierungsmodus ohne strenge Typprüfung kann ein Angreifer ein schädliches Objekt einschleusen, was zur Ausführung von beliebigem Code auf dem Server führt.

• Angriffsvektor: Remote, über HTTP-Anfragen oder Datei-Uploads.
• Ausnutzungsbedingung: Verwendung veralteter Bibliotheksversionen und Konfiguration von TypeNameHandling auf Auto oder All.
• Potentieller Schaden: Vollständige Kompromittierung des Servers, Datendiebstahl, Einschleusen von Backdoors.

Welche Systeme sind gefährdet?

Betroffen sind alle .NET-Anwendungen (ASP.NET Core, Desktop-WPF, Konsolen-Dienstprogramme), die Newtonsoft.Json in den Versionen 12.x und 13.0.1–13.0.2 verwenden. Besonders kritisch ist die Situation für Microservices, die Benutzereingaben ohne zusätzliche Bereinigung verarbeiten.

Wie man sich schützt

Die Entwickler von Newtonsoft.Json haben bereits einen Fix in Version 13.0.3 veröffentlicht. Es wird empfohlen, umgehend:

• Die Bibliothek über NuGet auf die neueste stabile Version zu aktualisieren: Install-Package Newtonsoft.Json -Version 13.0.3
• Auf eine Alternative umzusteigen – System.Text.Json (integriert in .NET 6+), das von dieser Sicherheitslücke nicht betroffen ist.
• Eine Code-Überprüfung auf die Verwendung von TypeNameHandling durchzuführen – bei Bedarf durch None ersetzen oder einen benutzerdefinierten SerializationBinder implementieren.

Fazit

Diese Sicherheitslücke ist eine Erinnerung daran, dass selbst die am besten geprüften Bibliotheken rechtzeitig aktualisiert werden müssen. C#-Entwickler sollten es sich zur Regel machen, Abhängigkeiten mit dotnet list package --vulnerable zu überprüfen und Sicherheitsanalysetools (z. B. Snyk, GitHub Dependabot) in die CI/CD-Pipeline zu integrieren.

Bleiben Sie auf dem Laufenden auf PythonLib – wir werden weiterhin über wichtige Ereignisse in der Welt von .NET und Codesicherheit berichten.