Microsoft sluit kritieke beveiligingslek in ASP.NET Core voor macOS en Linux

Kritiek beveiligingslek in ASP.NET Core

Microsoft heeft dinsdagavond een noodupdate uitgebracht voor ASP.NET Core om een hoogrisico beveiligingslek te dichten. Het lek, aangeduid als CVE-2026-40372, treft versies 10.0.0 tot en met 10.0.6 van de Microsoft.AspNetCore.DataProtection NuGet.

Hoe werkt het lek?

De kwetsbaarheid ontstaat door een foutieve verificatie van cryptografische handtekeningen. Aanvallers kunnen hierdoor ongeauthenticeerde authenticatiepayloads vervalsen tijdens het HMAC-verificatieproces. Dit proces controleert de integriteit en echtheid van data die tussen client en server wordt uitgewisseld.

Gevolgen: ongeautoriseerde SYSTEM-rechten

Wanneer een kwetsbare versie van het pakket wordt gebruikt, kunnen aanvallers zonder authenticatie SYSTEM-rechten verkrijgen. Dit geeft volledige controle over het onderliggende systeem. Zelfs na het toepassen van de patch blijven systemen kwetsbaar als door aanvallers aangemaakte credentials niet worden verwijderd.

Wat moet u doen?

• Direct updaten: Installeer de nieuwste versie van Microsoft.AspNetCore.DataProtection via de officiële kanalen.
• Credentials controleren: Verwijder alle bestaande authenticatiegegevens die mogelijk zijn aangemaakt door aanvallers.
• Monitoren: Houd systemen in de gaten op verdachte activiteiten na het toepassen van de patch.

Impact en scope

Het lek treft ontwikkelaars en organisaties die ASP.NET Core gebruiken voor Linux- of macOS-toepassingen. Microsoft benadrukt dat de noodupdate essentieel is om grote beveiligingsrisico's te voorkomen.

"Dit lek stelt aanvallers in staat om volledige controle te krijgen over systemen zonder enige vorm van authenticatie. Het is van cruciaal belang dat gebruikers de patch direct toepassen en bestaande credentials verwijderen."

— Microsoft Security Response Center

Technische details

De kwetsbaarheid maakt gebruik van een zwakte in de cryptografische verificatie van ASP.NET Core. Aanvallers kunnen hierdoor valse authenticatiegegevens maken die het systeem misleiden. Het HMAC-verificatieproces, dat normaal gesproken de integriteit van data garandeert, wordt hierdoor omzeild.

Conclusie

Microsofts noodupdate is een cruciale stap om een ernstige beveiligingsdreiging te mitigeren. Gebruikers wordt dringend geadviseerd om de patch zo snel mogelijk toe te passen en bestaande credentials te controleren. Dit voorkomt dat aanvallers ongeautoriseerde toegang behouden.