مایکروسافت آسیب‌پذیری با بالاترین درجه خطر ASP.NET Core را برطرف کرد

مایکروسافت این هفته آسیب‌پذیری با بالاترین درجه شدت تاریخ ASP.NET Core را ترمیم کرد. این باگ قاچاق درخواست HTTP (CVE-2025-55315) در وب سرور Kestrel ASP.NET Core کشف شد و به مهاجمان احراز هویت شده اجازه می‌دهد درخواست‌های HTTP دیگری را قاچاق کرده و اعتبارنامه‌های کاربران دیگر را ربوده یا کنترل‌های امنیتی فرانت‌اند را دور بزنند. مایکروسافت اعلام کرد که مهاجمان موفق می‌توانند اطلاعات حساس نظیر اعتبارنامه‌های کاربران دیگر را مشاهده کرده، محتوای فایل‌ها را در سرور هدف تغییر دهند و احتمالاً باعث کرش سرور شوند.

برای محافظت از برنامه‌های ASP.NET Core، مایکروسافت توصیه می‌کند کاربران .NET 8 یا جدیدتر به‌روزرسانی را نصب کرده و برنامه را مجدداً راه‌اندازی کنند، کاربران .NET 2.3 پکیج Microsoft.AspNet.Server.Kestrel.Core را به نسخه 2.3.6 ارتقا دهند. بری دورانز، مدیر برنامه فنی امنیت .NET، توضیح داد که تأثیر حملات CVE-2025-55315 به برنامه هدف بستگی دارد و می‌تواند شامل ورود به عنوان کاربر دیگر، درخواست‌های داخلی، دور زدن بررسی‌های CSRF یا حملات تزریقی باشد. در Patch Tuesday این ماه، مایکروسافت به‌روزرسانی‌های امنیتی برای 172 آسیب‌پذیری از جمله هشت مورد “بحرانی” و شش باگ zero-day منتشر کرد.