Microsoft выпустила критический патч для ASP.NET Core

На этой неделе Microsoft анонсировала патч, который исправляет критическую уязвимость, получившую статус «самой серьезной в истории» кроссплатформенного фреймворка ASP.NET Core. Уязвимость CVE-2025-55315, связанная с перенаправлением HTTP-запросов, была обнаружена в веб-сервере Kestrel, используемом в ASP.NET Core. Злоумышленник с авторизованным доступом может воспользоваться этой уязвимостью для внедрения дополнительных HTTP-запросов, что позволяет перехватывать сессии пользователей и обходить системы безопасности. Microsoft предупредила, что это может привести к утечке конфиденциальных данных и изменению файлов на целевом сервере. Пользователям различных версий платформы рекомендуется обновиться: для .NET 8 и более новых версий доступен патч через Microsoft Update, а пользователям .NET 2.3 следует обновить пакет Microsoft.AspNetCore.Server.Kestrel.Core и заново развернуть приложение. Microsoft также выпустила патчи для Visual Studio 2022 и ASP.NET Core 2.x. Представитель компании отметил, что последствия атак зависят от архитектуры приложения, подчеркивая важность оценки уязвимости в контексте возможных сценариев обхода безопасности.