【安全资讯】微软紧急修复ASP.NET Core高危权限提升漏洞

概要：

在网络安全领域，零日漏洞的发现与修复始终是攻防对抗的前沿。微软近日紧急发布了一组带外安全更新，以修复一个存在于ASP.NET Core数据保护加密API中的高危权限提升漏洞。该漏洞可能允许未经身份验证的攻击者通过伪造身份验证Cookie，在受影响的设备上获得SYSTEM权限，对使用该框架的Web应用构成严重威胁。

主要内容：

该漏洞被追踪为CVE-2026-40372，源于Microsoft.AspNetCore.DataProtection 10.0.0至10.0.6版本NuGet包中的一个回归问题。具体技术原因是，受管理的身份验证加密器在某些情况下会基于错误的负载字节计算其HMAC验证标签，然后丢弃计算出的哈希值。这种损坏的验证机制使得攻击者能够伪造有效负载，使其通过DataProtection的真实性检查，从而解密先前受保护的身份验证Cookie、防伪令牌、TempData、OIDC状态等数据。

成功利用此漏洞，攻击者可以在漏洞窗口期内伪造特权用户身份进行认证，诱导应用程序向他们自己签发合法签名的令牌（如会话刷新令牌、API密钥、密码重置链接等）。微软警告，即使在升级到修复版本10.0.7后，这些已签发的令牌在数据保护密钥环未被轮换前仍然有效。

除了权限提升，该漏洞还可被用于泄露文件和修改数据，但不会影响系统可用性。微软高级项目经理已敦促所有使用ASP.NET Core Data Protection的客户立即将相关包更新至10.0.7版本，并重新部署应用以修复验证例程，确保任何伪造的有效负载被自动拒绝。此次事件凸显了加密库实现细节中的微小错误可能带来的广泛安全影响。