Giriş
Microsoft, ASP.NET Core’da bir güvenlik açığını kapatmak için acil bir güncelleme yayınladı. Bu açığın kötüye kullanılması, saldırganların yetki yükseltmesi ile SYSTEM ayrıcalıklarına erişebilmesine olanak tanıyabilir.
Saldırı Nasıl Çalışıyor?
Güvenlik açığı, CVE-2026-40372 koduyla izlenmekte ve CVSS puanı 9.1/10.0 olarak değerlendirilmiştir. Microsoft’un açıklamalarına göre, “ASP.NET Core’daki kriptografik imza doğrulama hatalı olduğunda, yetkisiz bir saldırgan bir ağ üzerinden yetki yükseltebilir.” Bu açığın kötüye kullanımı için üç ön koşul bulunmaktadır:
- Uygulamanın Microsoft.AspNetCore.DataProtection 10.0.6 sürümünü NuGet üzerinden kullanıyor olması (doğrudan veya Microsoft.AspNetCore.DataProtection.StackExchangeRedis gibi bu paketi kullanan bir paket üzerinden).
- NuGet kopyasının çalıştırma zamanında gerçekten yüklenmiş olması.
- Uygulamanın Linux, macOS veya başka bir Windows dışındaki işletim sisteminde çalışıyor olması.
Etkilenen Sistemler
Güvenlik açığı, aşağıdaki sürüm aralığında yer alan NuGet paketleri ile etkileşim halindeki sistemleri hedef almaktadır:
- Microsoft.AspNetCore.DataProtection 10.0.0 – 10.0.6
Microsoft, bu açığı ASP.NET Core sürüm 10.0.7 ile çözmüştür. Açıklamalara göre, bu sürümlerdeki bir regresyon, yönetilen kimlik doğrulama şifreleyicisinin HMAC doğrulama etiketini hatalı olarak hesaplamasına neden olmuştur. Bu, saldırganların DataProtection’ın özgünlük kontrollerini geçen ve kimlik doğrulama çerezleri, sahteciliği önleyici token’lar ve benzeri korunan yükleri çözebilen yükler oluşturmasına olanak tanımaktadır.
Çözüm ve Korunma
Microsoft, bu açığı çözmek için aşağıdaki önlemleri önermektedir:
- ASP.NET Core uygulamalarını 10.0.7 sürümüne güncelleyin.
- DataProtection anahtar halkasını döndürün; bu, mevcut token’ların geçerliliğini tartışmasız bir şekilde sona erdirecektir.
- Hedef sistemlerinizi düzenli bir şekilde inceleyin ve gereksiz portları kapatın.
Sonuç
Bu güvenlik açığı, kritik bir tehdit oluşturuyor. Okuyucularımızın, ilgili yazılımlarını güncelleyerek ve önerilen tedbirleri alarak sistemlerini korumaları önemlidir. Mevcut durumunuzu değerlendirip gerekli adımları atmayı ihmal etmeyin.
