Microsoft 修补了关键的 ASP.NET Core 漏洞

Microsoft 发布了一个紧急安全补丁，解决了其广泛使用的 ASP.NET Core 框架中的一个严重漏洞，该漏洞给在 Linux 和 macOS 平台上运行 Web 应用程序的组织带来了重大风险。此次紧急更新针对的是一个高严重性缺陷，该缺陷可能允许未经身份验证的攻击者将权限升级到系统级别，从而可能授予他们对受影响计算机的完全控制权。这一发展强调了依赖 .NET 生态系统作为基础设施的开发人员和系统管理员持续需要保持警惕的安全实践。

该漏洞于周二晚上发布，已被正式跟踪为 CVE-2026-40372，特别影响 Microsoft.AspNetCore.DataProtection NuGet 包的 10.0.0 至 10.0.6 版本，该包是更广泛的 ASP.NET Core 框架中的关键组件。该漏洞源于身份验证机制中加密签名验证不当，为攻击者绕过安全控制创造了途径。这一特殊的弱点会影响 HMAC 验证过程，该过程是确保客户端应用程序和服务器之间传输的数据的完整性和真实性的关键验证方法。

此漏洞的技术性质揭示了攻击者如何利用有缺陷的加密签名验证来伪造身份验证有效负载。通过规避 HMAC 验证过程，恶意行为者可以创建系统会接受为合法的欺诈性身份验证凭据。此功能从根本上破坏了 Web 应用程序所依赖的安全模型，因为身份验证机制通常是防止未经授权的访问的第一道防线。

此安全缺陷的影响超出了直接利用场景的范围。 未经身份验证的攻击者获得系统级权限是网络安全事件中最严重的结果之一，因为这些权限几乎可以不受限制地访问系统资源和敏感数据。具有系统权限的攻击者可以安装恶意软件、窃取机密信息、修改关键文件以及建立持久后门以长期访问受损的基础设施。对于运行基于 ASP.NET Core 构建的关键任务应用程序的组织来说，此漏洞可能会在整个技术生态系统中产生连锁后果。

该漏洞尤其令人担忧的是，即使将系统修补到最新的安全版本后，伪造凭证的行为也是如此。发现在攻击者访问期间运行易受攻击版本的组织面临着复杂的挑战：单独应用安全补丁不会自动使威胁行为者创建的恶意身份验证凭据失效。这意味着，即使在更新到 Microsoft.AspNetCore.DataProtection 包的修补版本之后，使用先前创建的欺诈凭据的攻击者也可能会维持对系统的未经授权的访问。

微软在其安全公告中强调，系统在运行易受攻击的版本时暴露的管理员必须采取额外的补救措施，而不仅仅是简单地应用补丁。组织需要进行全面的安全审计，以确定其系统在易受攻击期间是否被未经授权的人员访问。这需要检查身份验证日志、访问模式和系统修改，以检测漏​​洞存在时可能发生的任何恶意活动迹象。

CVE-2026-40372 的发现和披露凸显了漏洞管理在软件供应链中的至关重要性。随着开源和商业软件组件的相互联系日益紧密，Microsoft.AspNetCore.DataProtection 等基础软件包中的单个漏洞可能会影响数千个应用程序和数百万最终用户。 .NET 生态系统是无数企业应用程序的支柱，鉴于其在金融机构、医疗保健组织、政府机构和大型技术公司中的广泛采用，需要特别警惕。

对于当前维护基于 ASP.NET Core 构建的应用程序的开发人员，需要立即采取行动更新到 Microsoft.AspNetCore.DataProtection 包 10.0.6 以上的修补版本。在将更新部署到生产系统之前，应在受控环境中进行测试，确保补丁解决漏洞，而不会引入兼容性问题或破坏现有功能。开发团队还应审查其部署程序，以便针对未来的关键安全问题建立更快的补丁分发机制。

除了立即进行技术修复之外，此事件还强化了组织应实施的更广泛的网络安全最佳实践。其中包括维护所有身份验证尝试和系统访问的详细审核日志，实施最小权限访问控制原则以限制潜在危害的影响，以及建立事件响应程序以快速检测和响应可疑活动。即使身份验证凭据遭到泄露，多重身份验证系统也可以提供额外的保护层。

Microsoft 安全团队已在 GitHub 上并通过官方安全渠道提供了有关漏洞和修复程序的详细技术文档。鼓励组织与其内部安全团队一起咨询这些资源，以制定全面的响应策略。对于那些在医疗保健或金融等受监管行业运营的企业，额外的合规考虑因素可能需要与此安全事件相关的特定文档和通知程序。

展望未来，此事件表明针对基本基础设施组件的安全威胁正在不断演变。随着攻击者在识别广泛使用的框架中的漏洞方面变得越来越熟练，软件开发社区必须在创新与严格的安全实践之间取得平衡。自动漏洞扫描、定期安全审核和快速修补机制正在成为现代应用程序部署策略的重要组成部分，而不是可选的增强功能。

受此漏洞影响的组织应以最高优先级对待该漏洞，在所有受影响的系统上实施补丁并进行彻底的安全调查，以确保不会持续存在未经授权的访问。虽然紧急补丁提供了技术解决方案，但完整的修复过程需要对受影响的基础设施进行全面审查、测试和验证，以恢复对系统安全性和完整性的充分信心。