Уязвимость ASP.NET позволяла захватить систему без входа

23 апреля в 17:15

581

Уязвимость ASP.NET позволяла захватить систему без входа

Microsoft в срочном порядке закрыла опасную уязвимость в ASP.NET, которая фактически открывала злоумышленникам дверь в систему без пароля. Речь о баге с индексом CVE-2026-40372 — и звучит он не менее тревожно, чем выглядит.

Проблема обнаружилась в компоненте Microsoft.AspNetCore.DataProtection версий с 10.0.0 по 10.0.6. Ошибка скрывалась в механизме HMAC, отвечающем за целостность данных. Из-за сбоя атакующие могли подделывать аутентификационные данные и обходить защиту, получая привилегии уровня системы.

Под основной удар попали приложения на Linux и macOS. В Windows ситуация оказалась спокойнее — там по умолчанию используются другие криптографические алгоритмы, что уберегло систему от эксплуатации уязвимости.

При этом установка патча не гарантирует полной безопасности. В Microsoft предупреждают, что злоумышленники могли заранее получить действующие токены доступа, которые продолжат работать даже после обновления.

Компания советует не ограничиваться установкой исправления. Рекомендуется срочно провести ротацию ключей безопасности и внимательно проверить систему на признаки компрометации — на всякий случай, если кто-то уже успел «погулять» внутри.

Комментировать

Другие публикации по теме

Microsoft прикрыла ещё один обход аккаунта в Windows 11

Microsoft продолжает усложнять установку Windows 11 без учётной записи компании. На этот раз разработчики устранили лазейку, позволявшую создать локальный аккаунт простым нажатием на ссылку в меню первоначальной настройки системы.

Сегодня в 15:02

267

Форум

Вайб-кодинг и нейросети: Epic Games переписала свой лаунчер с помощью ИИ и заявила об ускорении на 46% по сравнению со Steam

Компания Epic Games объявила о масштабном техническом обновлении цифрового магазина Epic Games Store, заявив, что благодаря частично сгенерированному ИИ коду («вайб-кодингу») лаунчер стал на 46% быстрее Steam.

Сегодня в 11:12

165

Форум

Обновленная DLSS 5 стала в 10 раз быстрее по сравнению с анонсом

Компания NVIDIA анонсировала масштабное октябрьское обновление технологического стека DLSS 5. Разработчикам удалось оптимизировать нейросетевую модель 3D-Guided Neural Rendering, сделав её работу в два раза быстрее по сравнению с сентябрьской версией и в 10 раз быстрее по сравнению с первоначальным анонсом.

Вчера в 11:21

2673

Форум