Microsoft срочно закрыла уязвимость в ASP.NET Core, появившуюся после обновления

Microsoft выпустила внеплановое обновление для ASP.NET Core после того, как апрельский патч сам привел к критической уязвимости. Проблема затрагивает компонент Data Protection и получила идентификатор CVE-2026-40372 с оценкой 9,1 балла. Ошибка позволяла злоумышленнику повышать привилегии и фактически обходить механизмы аутентификации в приложениях.

Уязвимость появилась в версиях Microsoft.AspNetCore.DataProtection 10.0.0–10.0.6, которые были выпущены в рамках апрельского Patch Tuesday. Из-за ошибки в криптографической проверке система могла неправильно рассчитывать HMAC-подпись и в ряде случаев полностью игнорировать результат проверки. Это открывало возможность подделывать аутентификационные данные, включая cookies, токены и другие защищенные элементы.

В результате атакующий мог выдавать себя за привилегированного пользователя и получать доступ к системе. Более того, если в период уязвимости были сгенерированы валидные токены, они могли продолжать работать даже после установки патча, если не была обновлена ключевая инфраструктура Data Protection.

Microsoft устранила проблему в версии 10.0.7 и рекомендует не только обновить компоненты, но и пересобрать приложения и при необходимости отозвать ранее выданные токены. Отдельно подчеркивается, что уязвимость особенно актуальна для Linux и macOS-сред, где используется управляемая реализация Data Protection.

Ситуация показательна: ошибка возникла не в старом коде, а была занесена самим обновлением. Это редкий, но критичный сценарий, когда патч одновременно становится источником новой атаки.