PT-2025-42010
CVE-2025-55315
·
تاريخ النشر
2025-10-14
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ASP.NET Core السابقة للإصدار 10.0.0-rc.2.25502.107
إصدارات ASP.NET Core السابقة للإصدار 9.0.10
إصدارات ASP.NET Core السابقة للإصدار 8.0.21
إصدارات Microsoft.AspNetCore.Server.Kestrel.Core السابقة للإصدار 2.3.6
الوصف
يؤدي التفسير غير المتسق لطلبات HTTP، المعروف باسم تهريب طلبات/استجابات HTTP، في ASP.NET Core إلى تمكين مهاجم مخول من تجاوز ميزات الأمان عبر الشبكة. تنشأ هذه المشكلة من الطريقة التي يتعامل بها خادم Kestrel مع ترميز النقل المقسم (chunked transfer encoding) ويُسيء تفسير حدود HTTP في ظل ظروف معينة. وقد يمكّن ذلك المهاجمين من إخفاء طلب HTTP ثانٍ داخل طلب آخر، متجاوزين بذلك البروكسيات أو تحليل الرؤوس. تشمل الآثار المحتملة تصعيد الامتيازات، والتجاوزات المصادق عليها، وتزوير الطلبات من جانب الخادم (SSRF)، وتجاوز تزوير الطلبات عبر المواقع (CSRF)، والحقن، والوصول غير المصرح به إلى واجهات برمجة التطبيقات (APIs) الداخلية. تم الكشف عن أكثر من 46.3 مليون حالة في جميع أنحاء العالم. يؤثر هذا الخلل أيضًا على NetBak PC Agent من QNAP، حيث قد يؤدي إلى الوصول غير المصرح به إلى البيانات وتعطل الخادم.
التوصيات
بالنسبة لـ ASP.NET Core 10.0، قم بالتحديث إلى الإصدار 10.0.0-rc.2.25502.107 أو أحدث.
بالنسبة لـ ASP.NET Core 9.0، قم بالتحديث إلى الإصدار 9.0.10 أو أحدث.
بالنسبة إلى ASP.NET Core 8.0، قم بالتحديث إلى الإصدار 8.0.21 أو أحدث.
بالنسبة إلى التطبيقات التي تستخدم حزمة
Microsoft.AspNetCore.Server.Kestrel.Core، قم بالتحديث إلى الإصدار 2.3.6.بالنسبة لمستخدمي برنامج NetBak PC Agent من QNAP، قم بإعادة تثبيت البرنامج لضمان تطبيق المكونات المحدثة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾