Ασφάλεια
Κρίσιμη ευπάθεια στο ASP.NET Core: Η Microsoft κυκλοφόρησε έκτακτο patch για macOS και Linux
Τι ακριβώς συμβαίνει;
Το πρόβλημα εντοπίστηκε αρχικά όταν χρήστες ανέφεραν αποτυχίες αποκρυπτογράφησης στις εφαρμογές τους μετά την εγκατάσταση του .NET 10.0.6 που κυκλοφόρησε στο Patch Tuesday. Κατά τη διερεύνηση αυτών των αναφορών, η Microsoft διαπίστωσε ότι η οπισθοδρόμηση (regression) εξέθετε και μια κρίσιμη ευπάθεια ασφαλείας.
Συγκεκριμένα, στις εκδόσεις 10.0.0 έως 10.0.6 του NuGet package Microsoft.AspNetCore.DataProtection, ο managed authenticated encryptor υπολόγιζε το HMAC validation tag πάνω στα λάθος bytes του payload και στη συνέχεια απέρριπτε το υπολογισμένο hash. Αποτέλεσμα: ένας επιτιθέμενος μπορούσε να πλαστογραφήσει payloads που περνούσαν τους ελέγχους αυθεντικότητας, αλλά και να αποκρυπτογραφήσει προστατευμένα δεδομένα όπως authentication cookies και antiforgery tokens.
Ποιοι κινδυνεύουν;
Για να είναι επιρρεπής μια εφαρμογή στην ευπάθεια, πρέπει να πληρούνται τρεις προϋποθέσεις: να χρησιμοποιεί το Microsoft.AspNetCore.DataProtection 10.0.6 από το NuGet (άμεσα ή έμμεσα μέσω εξαρτήσεων), το NuGet αντίγραφο της βιβλιοθήκης να φορτώνεται κατά το runtime, και η εφαρμογή να τρέχει σε Linux, macOS ή άλλο μη-Windows λειτουργικό σύστημα.
Όπως τονίζει η Microsoft στο advisory της: «Improper verification of cryptographic signature in ASP.NET Core allows an unauthorized attacker to elevate privileges over a network», με δυνατότητα απόκτησης SYSTEM privileges.
Ένα σενάριο που θυμίζει το παρελθόν
Η ευπάθεια συγκρίνεται από την ίδια τη Microsoft με το διαβόητο MS10-070 του 2010, ένα έκτακτο patch για το CVE-2010-3332, μια zero-day ευπάθεια στον τρόπο που το ASP.NET χειριζόταν κρυπτογραφικά σφάλματα. Επιπλέον, η ευπάθεια αυτή έρχεται μόλις έξι μήνες μετά από το CVE-2025-55315, μια άλλη κρίσιμη ευπάθεια CVSS 9.9 στον Kestrel web server.
Πώς να προστατευτείτε;
Η διόρθωση περιλαμβάνεται στην έκδοση ASP.NET Core 10.0.7. Για τα περισσότερα server builds, η ενημέρωση θα πρέπει να έχει ήδη γίνει αυτόματα. Ωστόσο, για developers που χρησιμοποιούν Docker containers, τα πράγματα είναι πιο σύνθετα, καθώς η DataProtection βιβλιοθήκη είναι ενσωματωμένη στις built εφαρμογές – απαιτείται rebuild.
Επιπλέον, η Microsoft προειδοποιεί ότι εάν ένας επιτιθέμενος χρησιμοποίησε πλαστά payloads κατά τη διάρκεια του ευάλωτου παραθύρου, τα tokens που εκδόθηκαν νόμιμα (π.χ. session refresh, API keys, password reset links) παραμένουν έγκυρα ακόμα και μετά την ενημέρωση στο 10.0.7, εκτός και αν γίνει rotation του DataProtection key ring.
Αν η εφαρμογή σας χρησιμοποιεί ASP.NET Core Data Protection, η σύσταση είναι σαφής: ενημερώστε στο Microsoft.AspNetCore.DataProtection 10.0.7 το συντομότερο δυνατό.
Πηγές
Ars Technica – Microsoft issues emergency update for macOS and Linux ASP.NET threat Microsoft .NET Blog – .NET 10.0.7 Out-of-Band Security Update GitHub – Microsoft Security Advisory CVE-2026-40372 The Hacker News – Microsoft Patches Critical ASP.NET Core CVE-2026-40372 BleepingComputer – Microsoft releases emergency patches for critical ASP.NET flaw
90
