Microsoft セキュリティアドバイザリ CVE-2026-102870 - ASP.NET Core リモートコード実行の脆弱性
## 概要
Microsoft は、`Microsoft.AspNetCore.Components.WebAssembly.Server` に含まれる Blazor WebAssembly デバッガの脆弱性に関する情報を提供するために、このセキュリティアドバイザリを発行します。このアドバイザリでは、開発者がアプリケーションを更新してこの脆弱性を解消するための方法についても説明します。
Blazor WebAssembly デバッガプロキシは、デバッガの式を評価するために、C# ソースコードを生成およびコンパイルします。デバッグ対象のアプリケーションから送信される特定のデータ（`ToString()` の結果、説明、クラス名など）が、生成されたソースコードに適切なエスケープ処理なしで埋め込まれることがあります。攻撃者が制御する値が、生成された文字列リテラルからエスケープし、開発者がデバッグ中に式を評価すると、開発者のマシン上でコードが実行される可能性があります。
## お知らせ
この問題に関するお知らせは、次の場所で確認できます: https://github.com/dotnet/announcements/issues/445
## CVSS 詳細
- **バージョン:** 3.1
- **深刻度:** 高
- **スコア:** 8.8
- **ベクトル:** `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
- **脆弱性:** CWE-94 (コードの生成制御の不備 ('コードインジェクション'))
## 影響を受けるプラットフォーム
- **プラットフォーム:** Windows、Linux、macOS
- **アーキテクチャ:** すべて
## 影響を受けるパッケージ
この脆弱性は、影響を受けるパッケージのバージョンを使用している Microsoft .NET プロジェクトに影響を与えます。
パッケージ名 | 影響を受けるバージョン | 修正されたバージョン
------------ | ---------------- | ---------------
[Microsoft.AspNetCore.Components.WebAssembly.Server](https://www.nuget.org/packages/Microsoft.AspNetCore.Components.WebAssembly.Server) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.Components.WebAssembly.Server](https://www.nuget.org/packages/Microsoft.AspNetCore.Components.WebAssembly.Server) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2.26478.115
## FAQ
### <a name="how-affected"></a回答: 影響を受けているかどうかを確認するにはどうすればよいですか？
Blazor WebAssemblyアプリケーションをデバッグし、攻撃者によって制御されるアプリケーションデータを含む式を評価するために、脆弱なバージョンの`Microsoft.AspNetCore.Components.WebAssembly.Server`を使用している場合、影響を受けています。
### <a name="how-fix"></a回答: この問題を修正するにはどうすればよいですか？
1. 最新のサポートされているバージョンの.NETをインストールします。
2. `Microsoft.AspNetCore.Components.WebAssembly.Server`を、アプリケーションで使用されている.NETのバージョンに対応した修正版に更新します。
更新されたパッケージまたはランタイムをインストールしたら、デバッガーと開発環境を再起動してください。
## その他の情報
### セキュリティ問題の報告
サポートされているバージョンの.NETで潜在的なセキュリティ問題を発見した場合は、[MSRC Researcher Portal](https://msrc.microsoft.com/report/vulnerability/new)を通じて、Microsoft Security Response Center (MSRC)に報告してください。詳細については、MSRCの[Report an Issue FAQ](https://www.microsoft.com/msrc/faqs-report-an-issue)をご覧ください。
MSRCを通じて報告されたセキュリティレポートは、Microsoft .NET Bountyの対象となる場合があります。Microsoft .NET Bountyプログラムの詳細（規約を含む）は、https://aka.ms/corebountyにあります。
### サポート
この問題に関する質問は、.NET GitHub organizationのGitHubで質問できます。主なリポジトリは、https://github.com/dotnet/runtimeとhttps://github.com/dotnet/aspnetcoreにあります。Announcementsリポジトリ（https://github.com/dotnet/announcements）には、この告知が問題として掲載され、ディスカッションの問題へのリンクが含まれます。
### 声明
この注意喚起に含まれる情報は、いかなる保証も伴わずに「現状のまま」提供されます。Microsoftは、明示または黙示を問わず、一切の保証を否認します。これには、商品性および特定目的への適合性に関する保証が含まれます。Microsoft Corporationまたはそのサプライヤーは、いかなる場合においても、直接的、間接的、偶発的、派生的な損害、事業利益の損失、または特別な損害について責任を負いません。Microsoft Corporationまたはそのサプライヤーがそのような損害の可能性について知らされていた場合であっても、責任を負いません。一部の州では、派生的な損害または偶発的な損害に対する責任の免除または制限を認めていないため、上記の制限が適用されない場合があります。
### 外部リンク
[CVE-2026-102870](https://www.cve.org/CVERecord?id=CVE-2026-102870)
### 謝辞
alittleston3
### 変更履歴
V1.0 (2026年10月13日): 注意喚起を公開。
影響を受けるパッケージ：
- nuget Microsoft.AspNetCore.Components.WebAssembly.Server: 影響を受けるバージョンは、10.0.0以上、10.0.12以下。10.0.13で修正済み。
- nuget Microsoft.AspNetCore.Components.WebAssembly.Server: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2.26478.115で修正済み。