Microsoft corrige tres vulnerabilidades graves en .NET Aspire CLI

Microsoft reveló y corrigió tres vulnerabilidades de alta severidad en su pila .NET Aspire CLI y Hosting el 10 de noviembre de 2026, publicando el primer aviso como Aspire Information Disclosure Vulnerability (CVE-2026-120792) en la GitHub Advisory Database. Los problemas incluyen un error de divulgación de información en el escáner de configuración MCP obsoleto de Aspire CLI, una falla local de escalamiento de privilegios ligada a permisos inseguros del directorio temporal durante operaciones de MSBuild, y un error de reutilización de credenciales del Dashboard explotable mediante un contenedor malicioso. Las tres se corrigieron en la versión 13.6.5.

Qué cambió

• CVE-2026-120792 (CVSS 7.3, CWE-532): el escáner de configuración MCP obsoleto de Aspire CLI escribe el contenido de la configuración en una ruta de directorio temporal fija y compartida en Linux y macOS, exponiéndolo a otros usuarios locales
• CVE-2026-120778 (CVSS 7.3, CWE-379): los permisos inseguros del directorio temporal permiten que un atacante local coloque archivos detectados por el descubrimiento de archivos de respuesta de MSBuild durante aspire sdk generate/dump/export, ejecutando código como el desarrollador en compilaciones de Linux (x64, arm64, musl-x64) y macOS (x64, arm64)
• CVE-2026-120006 (CVSS 7.5): las credenciales de autenticación del Dashboard pueden ser reutilizadas por un contenedor controlado por el atacante, permitiéndole ejecutar código como el desarrollador del host en configuraciones de macOS con un AppHost autenticado por Dashboard y una puerta de enlace HTTPS YARP vinculada
• Paquetes afectados: Aspire.Cli (NuGet) 13.2.0 a 13.6.4, @microsoft/aspire-cli (npm) 13.4.2 a 13.6.4, y Aspire.Hosting/Aspire.Hosting.AppHost en versiones anteriores a 13.6.5
• Las tres vulnerabilidades se corrigieron en la versión 13.6.5, publicada tanto en NuGet como en npm

Qué significa para quienes construyen con IA

.NET Aspire es la pila de desarrollo cloud-native de Microsoft, con herramientas MCP integradas, por lo que estas fallas importan sobre todo en entornos compartidos. Un atacante con acceso a una máquina de desarrollo compartida, un runner de CI o un contenedor malicioso podría escalar a los privilegios del propio desarrollador o leer datos de configuración del servidor MCP que nunca debían salir de la máquina local.

Avisos y próximos pasos

Microsoft publicó dos avisos adicionales junto con la corrección: Aspire Elevation of Privilege Vulnerability (CVE-2026-120778) y Aspire Elevation of Privilege Vulnerability (CVE-2026-120006), ambos fechados el 10 de noviembre de 2026. Los equipos que usan paquetes de Aspire CLI o Hosting en máquinas compartidas o runners de CI deben actualizar a la versión 13.6.5 para cerrar los tres problemas.

Fuentes

• Aspire Information Disclosure Vulnerability (CVE-2026-120792) (GitHub Advisory Database / Microsoft, 10 de noviembre de 2026, oficial)
• Aspire Elevation of Privilege Vulnerability (CVE-2026-120778) (GitHub Advisory Database / Microsoft, 10 de noviembre de 2026, oficial)
• Aspire Elevation of Privilege Vulnerability (CVE-2026-120006) (GitHub Advisory Database / Microsoft, 10 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.