- CVE-2025-55315 consente lo smuggling di richieste HTTP nel server web Kestrel di ASP.NET Core
- Gli attaccanti possono bypassare i controlli, accedere alle credenziali, alterare file o mandare in crash il server
- Microsoft ha rilasciato aggiornamenti per le versioni interessate di .NET e Visual Studio per mitigare la falla
Microsoft ha confermato di aver recentemente risolto una delle vulnerabilità più gravi mai riscontrate nel suo prodotto ASP.NET Core. Descritto come un "bug di HTTP request smuggling", la vulnerabilità è tracciata come CVE-2025-55315 e ha ricevuto un punteggio di gravità di 9.9/10 (critico). Colpisce il server web Kestrel ASP.NET Core e consente ad attaccanti non autenticati di "contrabbandare" richieste HTTP secondarie all'interno della richiesta originale.
Come aggiornare
La richiesta contrabbandabile può aiutare gli attaccanti a bypassare diversi controlli di sicurezza. "Un attaccante che sfrutta con successo questa vulnerabilità potrebbe visualizzare informazioni sensibili come le credenziali di altri utenti (Riservatezza) e apportare modifiche al contenuto dei file sul server di destinazione (Integrità), e potrebbe essere in grado di forzare un crash all'interno del server (Disponibilità)", ha spiegato Microsoft nel suo avviso di sicurezza.
A seconda delle versioni in esecuzione, esistono diversi modi per proteggere la propria infrastruttura da potenziali attacchi. Chi utilizza .NET 8 o versioni successive deve installare l'aggiornamento .NET da Microsoft Update, mentre chi utilizza .NET 2.3 deve aggiornare il riferimento al pacchetto Microsoft.AspNet.Server.Kestrel.Core alla versione 2.3.6, quindi ricompilare l'applicazione e ridistribuirla. Chi utilizza un'applicazione self-contained/single-file deve installare l'aggiornamento .NET, ricompilare e ridistribuire.
Microsoft ha inoltre rilasciato aggiornamenti di sicurezza per Microsoft Visual Studio 2022, ASP.NET Core 2.3, ASP.NET Core 8.0 e ASP.NET Core 9.0, nonché il pacchetto Microsoft.AspNetCore.Server.Kestrel.Core per le app ASP.NET Core 2.x.
Su GitHub, il responsabile del programma tecnico di sicurezza .NET Barry Dorrans ha affermato che il punteggio del bug non sarebbe "neanche lontanamente così alto", ma i punteggi si basano su come il bug potrebbe influenzare le applicazioni costruite su ASP.NET, quindi dipende davvero da ogni singola app: "Non sappiamo cosa sia possibile perché dipende da come hai scritto la tua app", ha detto. "Quindi, valutiamo tenendo presente il peggior caso possibile, un bypass delle funzionalità di sicurezza che modifica lo scope."
Via The Register
Segui TechRadar su Google News e aggiungici come fonte preferita per ricevere le nostre notizie, recensioni e opinioni esperte nei tuoi feed. Assicurati di cliccare sul pulsante Segui!
E naturalmente puoi anche seguire TechRadar su TikTok per notizie, recensioni e unboxing in formato video, e ricevere aggiornamenti regolari da noi anche su WhatsApp.
Potrebbe interessarti anche
- Microsoft avvisa che gli hacker hanno un nuovo e subdolo modo di distribuire malware
- Dai un'occhiata alla nostra guida alle migliori app di autenticazione
- Abbiamo selezionato i migliori gestori di password