Microsoft naprawia krytyczną lukę w ASP.NET Core – natychmiastowa aktualizacja dla macOS i Linux

Microsoft reaguje na poważne zagrożenie w ASP.NET Core

Firma Microsoft wydała pilną aktualizację dla ASP.NET Core, aby naprawić krytyczną lukę bezpieczeństwa, która umożliwia atakującym uzyskanie uprawnień SYSTEM na urządzeniach z systemami macOS i Linux. Błąd, oznaczony jako CVE-2026-40372, dotyczy wersji 10.0.0 do 10.0.6 pakietu Microsoft.AspNetCore.DataProtection.

Jak działa luka i dlaczego jest niebezpieczna?

Problem wynika z nieprawidłowej weryfikacji podpisów kryptograficznych podczas procesu uwierzytelniania HMAC. Atakujący mogą wykorzystać tę lukę do sfałszowania danych uwierzytelniających i uzyskania nieautoryzowanego dostępu do systemu. Skutkuje to możliwością pełnego przejęcia maszyny przez osoby trzecie.

Zagrożenie utrzymuje się nawet po aktualizacji

Microsoft ostrzega, że istniejące fałszywe dane uwierzytelniające utworzone przez atakujących mogą pozostać aktywne nawet po zainstalowaniu łatki. Oznacza to, że użytkownicy muszą ręcznie usunąć podejrzane dane z systemu, aby całkowicie wyeliminować ryzyko.

Kto jest narażony?

Luka dotyczy wszystkich urządzeń korzystających z ASP.NET Core na systemach macOS i Linux, które używają podatnych wersji pakietu Microsoft.AspNetCore.DataProtection. Zagrożenie nie dotyczy systemu Windows.

Jak zabezpieczyć się przed atakiem?

• Natychmiast zaktualizuj pakiet do najnowszej wersji (10.0.7 lub wyższej).
• Sprawdź i usuń podejrzane dane uwierzytelniające z systemu.
• Monitoruj aktywność sieciową pod kątem nietypowych działań.
• Zastosuj dodatkowe środki ochrony, takie jak wielopoziomowe uwierzytelnianie.

Oświadczenie Microsoft

„Podjęliśmy natychmiastowe działania, aby zminimalizować ryzyko dla naszych klientów. Zalecamy jak najszybsze zainstalowanie aktualizacji i przeprowadzenie audytu systemu.”

— Rzecznik Microsoft

Podsumowanie

Krytyczna luka w ASP.NET Core stanowi poważne zagrożenie dla użytkowników macOS i Linux. Pomimo wydania łatki, istnieje ryzyko utrzymywania się fałszywych danych uwierzytelniających. Aktualizacja jest obowiązkowa, a dodatkowe kroki zabezpieczające są zalecane.