A Microsoft rendkívüli, úgynevezett out-of-band biztonsági frissítéseket adott ki egy kritikus ASP.NET Core jogosultságkiterjesztési sebezhetőség javítására. A CVE-2026-40372 azonosítójú hiba az ASP.NET Core Data Protection kriptográfiai API-jaiban található, és lehetővé teheti, hogyhitelesítetlen támadók hitelesítési cookie-k meghamisításával SYSTEM szintű jogosultságokat szerezzenek az érintett rendszereken. A Microsoft közlése szerint a problémára olyan felhasználói jelentések nyomán derült fény, amelyek arról szóltak, hogy az április PatchKedd .NET 10.0.6 frissítés telepítése után az alkalmazásokban visszafejtési hibák jelentkeztek.

A Microsoft szerint a Microsoft.AspNetCore.DataProtection 10.0.0 és 10.0.6 közötti NuGet-csomagjaiban regresszió jelent meg. Emiatt a felügyelt hitelesített titkosító bizonyos esetekben hibásan, a payload téves bájtjai alapján számolja ki a HMAC-hitelesítési címkét, majd a kiszámított hash-t eldobja. A cég szerint ez a hibás ellenőrzés lehetővé teheti, hogy egy támadó olyan adatokkal végezzen hamisítást, amelyek átmennek a Data Protection hitelességi vizsgálatán. Ennek következtében visszafejthetővé válhatnak a korábban védett adatok, például az auth cookie-k, a hamisítás elleni tokenek, a TempData vagy az OIDC-állapot.

A Microsoft arra is figyelmeztetett, hogy ha egy támadó a sérülékeny időszakban hamisított adatokkal emelt jogosultságú felhasználóként hitelesítette magát, akkor rávehette az alkalmazást, hogy számára érvényes, szabályosan aláírt tokeneket bocsásson ki (pl. API-kulcsok, jelszó-visszaállítási hivatkozás). Ezek a 10.0.7-es verzióra történő frissítés után is érvényesek maradhatnak, hacsak a Data Protection kulcstárát nem cserélik le.

A techóriás keddi biztonsági tanácsadása szerint a sebezhetőség fájlok kiszivárogtatására és adatok módosítására is lehetőséget adhat, ugyanakkor a rendszer rendelkezésre állását nem érinti.

Rahul Bhandari vezető programmenedzser kedden arra kérte az ASP.NET Core Data Protectiont használó ügyfeleket, hogy mielőbb frissítsenek a Microsoft.AspNetCore.DataProtection 10.0.7-es verziójára, majd telepítsék újra alkalmazásaikat. Ezzel javítható az érvényesítési folyamat, és biztosítható, hogy a rendszer automatikusan elutasítsa a hamisított adatokat.