ASP.NET Core: עדכון חירום ל-CVE-2026-40372 מאפשר לזייף עוגיות והזדהות
ב-21 באפריל 2026 פרסמה Microsoft את .NET 10.0.7 מחוץ למחזור העדכונים, כדי לתקן את CVE-2026-40372 בספריית Data Protection של ASP.NET Core. לפי GitHub, ציון החומרה הוא 9.1.
TL;DR בקצרה
- Microsoft פרסמה ב-21 באפריל 2026 את .NET 10.0.7 מחוץ למחזור, אחרי שרגרסיה בגרסה 10.0.6 חשפה חולשה בספריית Data Protection.
- החולשה פוגעת בחבילת Microsoft.AspNetCore.DataProtection בגרסאות 10.0.0 עד 10.0.6, ומאפשרת לזייף עוגיות הזדהות ולפענח חלק מהנתונים המוגנים.
- לפי GitHub, הסיכון חל על אפליקציות ב-Linux, ב-macOS ובמערכות שאינן Windows, וכן על חלק מהרכיבים בכל מערכת.
- אחרי העדכון צריך לסבב את מפתחות Data Protection, כי אסימונים שהונפקו לתוקף נשארים תקפים.
ב-21 באפריל 2026 פרסמה Microsoft את .NET 10.0.7, עדכון חירום לחולשה קריטית ב-ASP.NET Core. החולשה, CVE-2026-40372, פוגעת בספרייה שמצפינה ומאמתת עוגיות ואסימונים באפליקציות. לפי GitHub, ציון החומרה הוא 9.1 מתוך 10. מי שמריץ אפליקציית .NET 10 על Linux צריך לבדוק את הגרסה.
מה קרה ב-ASP.NET Core בגרסה 10.0.6
לפי הבלוג של צוות .NET, לקוחות דיווחו על כשלי פענוח באפליקציות. זה קרה אחרי שחרור .NET 10.0.6 ב-Patch Tuesday. הצוות בדק את הדיווחים וגילה שהרגרסיה חושפת גם חולשה. החולשה בחבילה Microsoft.AspNetCore.DataProtection, בגרסאות 10.0.0 עד 10.0.6.
Data Protection היא ספרייה מובנית ב-ASP.NET Core. אפליקציות משתמשות בה כדי להצפין ולחתום עוגיות הזדהות ואסימוני antiforgery. אם תוקף מזייף נתון כזה בהצלחה, האפליקציה מאמינה שהוא משתמש לגיטימי.
הבעיה היא בקוד שמוודא שהנתונים לא שונו. המצפין חישב את חתימת ה-HMAC על בתים שגויים של המטען. בחלק מהמקרים הוא גם זרק את התוצאה. לפי הייעוץ ב-GitHub, תוקף יכול לזייף עוגיות הזדהות ולפענח חלק מהנתונים המוגנים.
התוקף גם יכול לגרום לאפליקציה להנפיק אסימונים חתומים כדין. הייעוץ מזכיר אסימוני רענון של סשן, מפתחות API וקישורי איפוס סיסמה. אסימונים כאלה ממשיכים לעבוד אחרי השדרוג.
מי חשוף ב-ASP.NET Core ומי לא
לפי הייעוץ, הסיכון חל על אפליקציות ב-Linux, ב-macOS ובמערכות אחרות שאינן Windows. התנאי הוא שהן טוענות את הבינארי של חבילה 10.0.6 על net10.0. הסיכון חל גם על אפליקציות וספריות שמשתמשות ברכיבי net462 או netstandard2.0 מגרסאות 10.0.x. זה נכון לכל מערכת הפעלה.
אפליקציות net10.0 ב-Windows לא חשופות. אפליקציות שמשתמשות ב-Data Protection גרסה 8.x או 9.x גם אינן חשופות. אפליקציה שתלויה בחבילה דרך ספרייה אחרת, למשל StackExchangeRedis, עלולה להיות חשופה לפי Security Affairs.
Microsoft מעריכה, לפי Security Affairs, שניצול בפועל פחות סביר. לפי ציון ה-CVSS ב-GitHub, התקיפה מגיעה מהרשת, ואינה דורשת הרשאות או פעולה של משתמש. לכן אפליקציה חשופה לאינטרנט שעומדת בתנאים חשופה להתקפה מרחוק.
למה השדרוג לא מספיק
הבלוג של Microsoft מורה להתקין את 10.0.7 בהקדם האפשרי. הוא לא מזכיר מה לעשות באסימונים שכבר הונפקו. את זה מפרט הייעוץ ב-GitHub. מי שהיה חשוף צריך לסבב את טבעת המפתחות של Data Protection. זה אוסף המפתחות שבהם האפליקציה מצפינה ומאמתת.
הסבב מבטל אסימונים שהונפקו לתוקף, אבל כל המשתמשים יצטרכו להתחבר מחדש. הוא גם לא מכסה מפתחות API, אסימוני רענון וקישורי איפוס שנוצרו בחלון הזמן. את אלה צריך להחליף בנפרד. אם שמרתם סודות בתוך מטען מוגן, כמו מחרוזות חיבור, החליפו גם אותם.
מה זה אומר עבורכם
- בדקו תלויות: חפשו את Microsoft.AspNetCore.DataProtection בגרסאות 10.0.0 עד 10.0.6, גם כתלות עקיפה.
- עדכנו ל-10.0.7: התקינו את ה-SDK או ה-Runtime, ודאו עם
dotnet --info, ובנו מחדש את האפליקציות והתמונות. - סבבו מפתחות: אם הגרסה הפגיעה רצה באפליקציה חשופה, השתמשו ב-
RevokeAllKeysאו ב-RevokeKey. אחרי הסבב כל המשתמשים יתחברו מחדש. - החליפו סודות: סבבו מפתחות API, אסימוני רענון, קישורי איפוס וסודות שנשמרו במטען מוגן.
- עברו על הלוגים: חפשו בקשות רבות ומתמשכות לנקודת קצה אחת, עם ערכי עוגיות משתנים. כך ממליץ הייעוץ.
מקורות והרחבה
- .NET 10.0.7 Out-of-Band Security UpdateMicrosoft .NET Blog
- Microsoft Security Advisory CVE-2026-40372: ASP.NET Core Elevation of PrivilegeGitHub
- Microsoft out-of-band updates fixed critical ASP.NET Core privilege escalation flawSecurity Affairs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
