-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in Microsoft Developer Tools Advisory ID : NCSC-2026-0235 Versie : 1.00 Kans : medium CVE ID : CVE-2026-41109, CVE-2026-45496, CVE-2026-45646, CVE-2026-47282, CVE-2026-47300, CVE-2026-47302, CVE-2026-47303, CVE-2026-47304, CVE-2026-47305, CVE-2026-50506, CVE-2026-50520, CVE-2026-50524, CVE-2026-50525, CVE-2026-50526, CVE-2026-50527, CVE-2026-50528, CVE-2026-50646, CVE-2026-50648, CVE-2026-50649, CVE-2026-50650, CVE-2026-50651, CVE-2026-50659, CVE-2026-56170, CVE-2026-57101, CVE-2026-57102, CVE-2026-57108 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Exposure of Sensitive Information to an Unauthorized Actor Incorrect Implementation of Authentication Algorithm Allocation of Resources Without Limits or Throttling Authentication Bypass by Assumed-Immutable Data Incorrect Authorization Improper Neutralization of Special Elements used in an LDAP Query ('LDAP Injection') Improper Validation of Specified Type of Input Improper Verification of Cryptographic Signature Improper Link Resolution Before File Access ('Link Following') Stack-based Buffer Overflow Not Failing Securely ('Failing Open') Improper Encoding or Escaping of Output Access of Resource Using Incompatible Type ('Type Confusion') Deserialization of Untrusted Data Improper Control of Generation of Code ('Code Injection') Insufficiently Protected Credentials Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') Improper Neutralization of Special Elements used in a Command ('Command Injection') Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') Inclusion of Functionality from Untrusted Control Sphere Uitgiftedatum : 20260714 Toepassing : Microsoft .NET Microsoft .NET 10.0 installed on Linux Microsoft .NET 10.0 installed on Mac OS Microsoft .NET 10.0 installed on Windows Microsoft .NET 8.0 installed on Linux Microsoft .NET 8.0 installed on Mac OS Microsoft .NET 8.0 installed on Windows Microsoft .NET 9.0 installed on Linux Microsoft .NET 9.0 installed on Mac OS Microsoft .NET 9.0 installed on Windows Microsoft .NET Framework Microsoft Azure Microsoft Microsoft Visual Studio 2022 version 17.14 Microsoft Microsoft Visual Studio Code Microsoft Microsoft Visual Studio Code CoPilot Chat Extension Microsoft Microsoft.AspNet.OData Microsoft Microsoft.AspNetCore.OData Microsoft Visual Studio 2017 Microsoft Visual Studio 2019 Microsoft Visual Studio 2022 Microsoft Visual Studio 2026 Microsoft Visual Studio Code Versie(s) : Platform(s) : Beschrijving Microsoft heeft kwetsbaarheden verholpen in Developer Tools als .NET en Visual Studio. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot schade uit de categorieën zoals genoemd in bijgevoegde tabel. Voor succesvol misbruik moet de kwaadwillende het slachtoffer misleiden een malafide bronbestand te openen en verwerken in de ontwikkelomgeving. ``` Visual Studio: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-47305 | 7.80 | Uitvoeren van willekeurige code | |----------------|------|-------------------------------------| GitHub Copilot and Visual Studio Code: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-47282 | 6.50 | Toegang tot gevoelige gegevens | |----------------|------|-------------------------------------| Visual Studio Code: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-45496 | 5.50 | Omzeilen van beveiligingsmaatregel | | CVE-2026-50520 | 8.40 | Uitvoeren van willekeurige code | | CVE-2026-57101 | 7.10 | Omzeilen van beveiligingsmaatregel | | CVE-2026-57102 | 8.80 | Omzeilen van beveiligingsmaatregel | |----------------|------|-------------------------------------| .NET Framework: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-50524 | 7.50 | Denial-of-Service | | CVE-2026-50527 | 7.50 | Denial-of-Service | | CVE-2026-50646 | 7.80 | Uitvoeren van willekeurige code | | CVE-2026-50648 | 7.50 | Denial-of-Service | | CVE-2026-50650 | 7.80 | Uitvoeren van willekeurige code | |----------------|------|-------------------------------------| ASP.NET Core: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-47300 | 8.80 | Verkrijgen van verhoogde rechten | | CVE-2026-47303 | 8.80 | Verkrijgen van verhoogde rechten | | CVE-2026-50506 | 7.50 | Denial-of-Service | | CVE-2026-56170 | 7.50 | Denial-of-Service | | CVE-2026-45646 | 7.50 | Denial-of-Service | |----------------|------|-------------------------------------| .NET: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-47302 | 7.50 | Denial-of-Service | | CVE-2026-47304 | 8.10 | Omzeilen van beveiligingsmaatregel | | CVE-2026-50525 | 7.50 | Denial-of-Service | | CVE-2026-50526 | 7.00 | Manipulatie van gegevens | | CVE-2026-50528 | 8.20 | Omzeilen van beveiligingsmaatregel | | CVE-2026-50649 | 7.80 | Uitvoeren van willekeurige code | | CVE-2026-50651 | 7.50 | Denial-of-Service | | CVE-2026-50659 | 6.50 | Voordoen als andere gebruiker | |----------------|------|-------------------------------------| .NET Core: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-57108 | 7.50 | Denial-of-Service | |----------------|------|-------------------------------------| GitHub Copilot and Visual Studio: |----------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |----------------|------|-------------------------------------| | CVE-2026-41109 | 8.80 | Omzeilen van beveiligingsmaatregel | |----------------|------|-------------------------------------| ``` Mogelijke oplossingen Microsoft heeft updates beschikbaar gesteld waarmee de beschreven kwetsbaarheden worden verholpen. We raden u aan om deze updates te installeren. Meer informatie over de kwetsbaarheden, de installatie van de updates en eventuele work-arounds vindt u op: https://portal.msrc.microsoft.com/en-us/security-guidance Referenties: Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmpWghIACgkQgupWoL0Z hGHiawwAryhXHWGvibKPWc54tiQORH+z2BMMn/7+iRdmhknhGQR/573y3pR/UwXA AUNQlorsKLnfNwCVAu6cT5e3BdUFQ07zWd7ewM2jBKtlWgdFXLA4tdNrYjaPnBZp pm+W5ULnWMHnURAZMfcy5GbpkSawiEW8Wvy4SH0YZQnlo4hAXlaJeYk7bbq/u8uw RcA9/Tlcnn9Pl/7obMLUC4b1SYm55sihy8k7gLKAaUewIdnmCbWpttKsimzUKdZR 4Mo5j8AzEkWOc3ytYE5OK43IlMwqew9smiPL8vRhtl9upR7Wi2Xks/ISW1T0uJ4d 1w9HxyA20XgZQ1+1reKYfbybh4E3NPCraDxunzm25IVwOJQmyqd45lCO6aBgE/kk CDzhY+pW4Gwp8cDWrr/TlWJ6stLR+xMJLZsq1Holu2b3bzEO0EY6RgJjwC0J7B6d tMm7yrsHwXadoQeFhSe4iXoNlTMhZnDuL2PnMwG/khaLteUllelQk0VGwOF/+zfs C3UHi8b1 =GPbE -----END PGP SIGNATURE-----