Microsoft corrige falha crítica no ASP.NET

há 3 horas 1

ANUNCIE AQUI

A Microsoft corrigiu uma vulnerabilidade crítica no ASP.NET Core, identificada como CVE-2025-55315 e avaliada com CVSS 9.9 – o maior já registrado para esse framework. O problema, classificado como “HTTP request smuggling”, permite a manipulação encoberta de requisições HTTP, possibilitando ao atacante contornar controles de segurança, sequestrar credenciais, acessar dados sensíveis, alterar arquivos e causar instabilidade ou queda no servidor.

O bug reside no Kestrel, servidor web embutido no ASP.NET Core, e pode ser explorado quando requisições são encadeadas de forma oculta, permitindo ação não autorizada, bypass de CSRF e ataques de elevação de privilégio. O impacto real depende de como a aplicação foi construída, mas ataques podem resultar em comprometimento direto de usuários e de dados corporativos.

A correção foi disponibilizada nas atualizações do Patch Tuesday de outubro para Visual Studio 2022 (17.14, 17.12, 17.10) e ASP.NET Core (2.3, 8.0, 9.0, 10.0 RC1), além do pacote Microsoft.AspNetCore.Server.Kestrel.Core versão 2.3.6.

Ler artigo completo