Microsoft .NET Framework no valida correctamente la entrada en varias de sus versiones (3.5, 4.5.2, 4.6, 4.7 y 4.7.1/4.7.2), lo que permite a un atacante ejecutar código arbitrario de forma remota. La falla afecta también a Windows 7, 8.1, RT 8.1, Windows 10 y Windows Server 2008, 2012 y 2016. Con un CVSS de 9.8 y un EPSS del 21,6% (percentil 98%), está entre las vulnerabilidades con mayor probabilidad de explotación real.
Pese a la severidad, Shodan no registra hosts indexados con este CVE detectado, lo que sugiere que el vector de ataque no queda expuesto directamente en internet y depende de que la víctima procese entrada maliciosa. GitHub la clasifica como crítica en su aviso GHSA-5vvw-jxjx-wg5h.
| CVE | CVE-2018-8540 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 21.6% en 30 días (percentil 98) |
| CWE | CWE-94 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
microsoft/.net_frameworkmicrosoft/windows_10microsoft/windows_7microsoft/windows_8.1microsoft/windows_rt_8.1microsoft/windows_server_2008microsoft/windows_server_2012microsoft/windows_server_2016