CVE-2026-70183 [高] Microsoft セキュリティアドバイザリ CVE-2026-70183 - ASP.NET Core のセキュリティ機能回避の脆弱性。

Microsoft セキュリティアドバイザリ CVE-2026-70183 - ASP.NET Core のセキュリティ機能回避の脆弱性

## 概要

Microsoft は、Microsoft.AspNetCore.Components.Authorization に存在する脆弱性に関する情報を提供するために、このセキュリティアドバイザリを発行します。このアドバイザリでは、開発者がアプリケーションを更新してこの脆弱性を解消するための方法についても説明します。

Blazor の `AuthorizeRouteView` において、古い非同期認証結果が、ナビゲーションや認証状態の変更後に適用されることで、現在の `[Authorize]` の判断を回避される可能性があります。

## お知らせ

この問題に関するお知らせは、次の場所で確認できます: https://github.com/dotnet/announcements/issues/460

## CVSS の詳細

- **バージョン:** 3.1
- **深刻度:** 高
- **スコア:** 7.5
- **ベクトル:** `CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H`
- **脆弱性:** CWE-362 (不適切な同期による共有リソースを使用した並行実行（「競合状態」））

## 対象プラットフォーム

- **プラットフォーム:** Windows, Linux, macOS
- **アーキテクチャ:** すべて

## <a name="affected-packages"></a対象パッケージ

この脆弱性は、影響を受けるパッケージのバージョンを使用している Microsoft .NET プロジェクトに影響を与えます。

パッケージ名 | 影響を受けるバージョン | 修正されたバージョン
------------ | ---------------- | ---------------
[Microsoft.AspNetCore.App.Runtime.linux-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.linux-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.linux-musl-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-x64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.linux-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-x64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.osx-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-arm64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.osx-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-x64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.win-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.win-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.win-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x64) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.win-x86](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x86) | >= 8.0.0, <= 8.0.31 | 8.0.32
[Microsoft.AspNetCore.App.Runtime.linux-arm](https://www.nuget.org

/packages/Microsoft.AspNetCore.App.Runtime.linux-arm) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.linux-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.linux-musl-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-x64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.linux-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-x64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.osx-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-arm64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.osx-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-x64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.win-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.win-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.win-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x64) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.win-x86](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x86) | >= 10.0.0, <= 10.0.12 | 10.0.13
[Microsoft.AspNetCore.App.Runtime.linux-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.linux-arm64

[Microsoft.AspNetCore.App.Runtime.linux-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.linux-musl-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-x64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.linux-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-x64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.osx-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-arm64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.osx-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-x64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.win-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.win-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.win-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x64) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.win-x86](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x86) | >= 9.0.0, <= 9.0.20 | 9.0.21
[Microsoft.AspNetCore.App.Runtime.linux-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.linux-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-arm64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.Asp

NetCore.App.Runtime.linux-musl-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.linux-musl-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-arm64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.linux-musl-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-musl-x64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.linux-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.linux-x64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.osx-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-arm64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.osx-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.osx-x64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.win-arm](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.win-arm64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-arm64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.win-x64](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x64) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2
[Microsoft.AspNetCore.App.Runtime.win-x86](https://www.nuget.org/packages/Microsoft.AspNetCore.App.Runtime.win-x86) | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2

## 補足情報（FAQ）

### <a name="how-affected"></a

1. 問題を解決するには、最新版の.NETをインストールしてください。Visual Studioを通じて1つ以上の.NET SDKをインストールしている場合、Visual StudioからVisual Studioのアップデートを促されることがあります。これにより、.NET SDKもアップデートされます。
2. アプリケーションが脆弱なパッケージを参照している場合は、パッケージの参照を修正済みのバージョンに更新してください。インストールされているバージョンは、`dotnet --info`コマンドを実行することで確認できます。

アップデートされたランタイムまたはSDKをインストールした後、変更が反映されるようにアプリケーションを再起動してください。

また、影響を受けるバージョンのいずれかをターゲットとする[自己完結型アプリケーション](https://docs.microsoft.com/dotnet/core/deploying/#self-contained-deployments-scd)をデプロイしている場合は、これらのアプリケーションも脆弱であり、再コンパイルと再デプロイが必要です。

## その他の情報

### セキュリティ問題の報告

サポートされているバージョンの.NETに潜在的なセキュリティ上の問題が見つかった場合は、Microsoft Security Response Center (MSRC)に、[MSRC Researcher Portal](https://msrc.microsoft.com/report/vulnerability/new)を通じて報告してください。詳細については、MSRCの[問題の報告に関するFAQ](https://www.microsoft.com/msrc/faqs-report-an-issue)をご覧ください。

MSRCを通じて報告されたセキュリティに関する報告は、Microsoft .NET Bountyの対象となる場合があります。Microsoft .NET Bountyプログラムの詳細（規約を含む）は、https://aka.ms/corebountyにあります。

### サポート

この問題に関する質問は、.NET GitHub organizationのGitHubで質問できます。主なリポジトリは、https://github.com/dotnet/runtimeにあります。Announcementsリポジトリ（https://github.com/dotnet/Announcements）には、このお知らせが問題として掲載され、ディスカッションの問題へのリンクが含まれます。リンクされたディスカッションの問題で質問することができます。

### 声明

この注意喚起に含まれる情報は、いかなる保証も伴わずに「現状のまま」提供されます。Microsoftは、明示または黙示を問わず、一切の保証を否認します。これには、商品性および特定目的への適合性に関する保証が含まれます。Microsoft Corporationまたはそのサプライヤーは、いかなる場合においても、直接的、間接的、偶発的、結果的、事業利益の損失、または特別な損害を含む、あらゆる損害について責任を負いません。Microsoft Corporationまたはそのサプライヤーがそのような損害の可能性について通知を受けていたとしても、責任を負いません。一部の州では、結果的または偶発的な損害に対する責任の免除または制限を認めていないため、上記の制限が適用されない場合があります。

### 外部リンク

[CVE-2026-70183](https://www.cve.org/CVERecord?id=CVE-2026-70183)

### 謝辞

- l8BL (ENKI WhiteHat: https://enki.co.kr/)

### 変更履歴

V1.0 (2026年10月13日): 注意喚起を公開。

影響を受けるパッケージ：
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-x64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-x64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.osx-arm64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.osx-x64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-arm: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-arm64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-x64: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-x86: 影響を受けるバージョンは 8.0.0 以降、8.0.31 以下。8.0.32 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm64: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm64: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-x64: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-x64: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.osx-arm64: 影響を受けるバージョンは 10.0.0 以降、10.0.12 以下。10.0.13 で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.osx-x64: 影響を受けるバージョンは 10.0.0 以降。

, <= 10.0.12、10.0.13で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-arm: 対象バージョン >= 10.0.0、<= 10.0.12、10.0.13で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-arm64: 対象バージョン >= 10.0.0、<= 10.0.12、10.0.13で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-x64: 対象バージョン >= 10.0.0、<= 10.0.12、10.0.13で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-x86: 対象バージョン >= 10.0.0、<= 10.0.12、10.0.13で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-x64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-x64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.osx-arm64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.osx-x64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-arm: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-arm64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-x64: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.win-x86: 対象バージョン >= 9.0.0、<= 9.0.20、9.0.21で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm: 対象バージョン >= 11.0.0-preview.1、<= 11.0.0-rc.1、11.0.0-rc.2で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-arm64: 対象バージョン >= 11.0.0-preview.1、<= 11.0.0-rc.1、11.0.0-rc.2で修正済み
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-arm: 対象バージョン >= 11.0.0-preview.1、<= 11.0.0-rc.1、11.0.0-rc.2で修正済み
- nuget Microsoft.

pNetCore.App.Runtime.linux-musl-arm64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-musl-x64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.linux-x64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.osx-arm64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.osx-x64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-arm: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-arm64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-x64: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。
- nuget Microsoft.AspNetCore.App.Runtime.win-x86: 影響を受けるバージョンは、11.0.0-preview.1以上、11.0.0-rc.1以下。11.0.0-rc.2で修正済み。