CVE-2025-55315

Nome do Software Vulnerável e Versões Afetadas ASP.NET Core versões anteriores a 10.0.0-rc.2.25502.107 ASP.NET Core versões anteriores a 9.0.10 ASP.NET Core versões anteriores a 8.0.21 Microsoft.AspNetCore.Server.Kestrel.Core versões anteriores a 2.3.6

Description A interpretação inconsistente de requisições HTTP, conhecida como HTTP request/response smuggling, no ASP.NET Core permite que um invasor autorizado ignore recursos de segurança através de uma rede. O problema decorre da forma como o servidor Kestrel lida com a codificação de transferência fragmentada (chunked transfer encoding) e interpreta incorretamente os limites do HTTP em certas condições. Isso pode permitir que invasores ocultem uma segunda requisição HTTP dentro de outra, ignorando proxies ou a análise de cabeçalhos. Os impactos potenciais incluem escalonamento de privilégios, bypass de autenticação, Server-Side Request Forgery (SSRF), bypass de Cross-Site Request Forgery (CSRF), injeção e acesso não autorizado a APIs internas. Mais de 46,3 milhões de instâncias foram detectadas mundialmente. Esta falha também afeta o software NetBak PC Agent da QNAP, onde pode levar ao acesso não autorizado a dados e interrupções do servidor.

Recommendations Para ASP.NET Core 10.0, atualize para a versão 10.0.0-rc.2.25502.107 ou posterior. Para ASP.NET Core 9.0, atualize para a versão 9.0.10 ou posterior. Para ASP.NET Core 8.0, atualize para a versão 8.0.21 ou posterior. Para aplicações que utilizam o pacote Microsoft.AspNetCore.Server.Kestrel.Core, atualize para a versão 2.3.6. Para usuários do QNAP NetBak PC Agent, realize a reinstalação do software para garantir que os componentes atualizados sejam aplicados.