Компанія Microsoft випустила термінове оновлення для свого ASP.NET Core з метою виправлення вразливості високого рівня, яка дозволяє неавторизованим зловмисникам отримати привілеї SYSTEM на пристроях, що використовують цей веб-розробницький фреймворк для роботи з додатками на Linux або macOS.
Фірма повідомила ввечері у вівторок, що вразливість з ідентифікатором CVE-2026-40372 торкається версій від 10.0.0 до 10.0.6 пакету Microsoft.AspNetCore.DataProtection, який є частиною фреймворка. Критичний недолік виникає через некоректну перевірку криптографічних підписів. Зловмисники можуть використати це для підробки аутентифікаційних даних під час процесу валідації HMAC, що використовується для перевірки цілісності та автентичності інформації, яка передається між клієнтом та сервером.
Обережно: підроблені облікові дані залишаються дійсними після виправлення
Поки користувачі використовували вразливу версію пакету, вони були під загрозою атаки, що дозволяла неавторизованим особам отримувати чутливі привілеї SYSTEM, що призводило до повного контролю над системою. Навіть після виправлення вразливості пристрої можуть залишатися під загрозою, якщо дані аутентифікації, створені зловмисниками, не будуть видалені.
“Якщо зловмисник використовував підроблені дані для аутентифікації як привілейований користувач під час вразливого періоду, він міг спонукати додаток видавати дійсно підписані токени (оновлення сесії, ключ API, посилання для скидання пароля тощо) самостійно”, – зазначили у Microsoft. “Ці токени залишаються дійсними після оновлення до версії 10.0.7, якщо ключі DataProtection не були змінені”.
Microsoft характеризує ASP.NET Core як “високопродуктивний” фреймворк для веб-розробки, призначений для написання .Net додатків, що працюють на Windows, macOS, Linux та Docker. Цей пакет з відкритим вихідним кодом “розроблений для швидкої еволюції компонентів, API, компіляторів і мов під час забезпечення стабільної та підтримуваної платформи для роботи додатків”.