Microsoft, geliştiricilerin macOS ve Linux uygulamaları oluşturmak için kullandığı ASP.NET Core çatısında kritik bir güvenlik açığı tespit etti. Şirket, bu ciddi sorunu gidermek için acil bir Microsoft yama yayınladı. Açık, kimliği doğrulanmamış saldırganların sistemde SYSTEM yetkileri kazanmasına olanak tanıyor.
ASP.NET Core Güvenlik Açığı Detayları Neler
Microsoft.AspNetCore.DataProtection NuGet paketinin 10.0.0 ile 10.0.6 sürümleri arasındaki bu güvenlik açığı, CVE-2026-40372 koduyla takip ediliyor. Sorunun temelinde, kriptografik imzaların hatalı doğrulanması yatıyor. Saldırganlar, HMAC doğrulama süreci sırasında sahte kimlik doğrulama yükleri oluşturarak sistemde ayrıcalık elde ediyor.
En tehlikeli noktalardan biri, yama uygulandıktan sonra bile riskin devam etme ihtimali. Microsoft, güvenlik açığı bulunan bir sürüm kullanılırken oluşturulan sahte kimlik bilgilerinin temizlenmemesi durumunda cihazların hâlâ ele geçirilmiş olabileceğini belirtiyor. Saldırganlar, bu süre zarfında elde ettikleri meşru token'ları (oturum yenileme, API anahtarı, parola sıfırlama bağlantısı gibi) yama sonrası bile kullanabilir. Bu yüzden DataProtection anahtar halkasının döndürülmesi büyük önem taşıyor.
Kimler Etkileniyor ve Ne Yapmak Gerek
ASP.NET Core, Windows, macOS, Linux ve Docker üzerinde çalışan .NET uygulamaları geliştirmek için tasarlanmış, yüksek performanslı bir web geliştirme çatısı. Bu açık özellikle macOS, Linux veya diğer Windows dışı işletim sistemlerinde çalışan uygulamaları etkiliyor. Windows uygulamaları varsayılan olarak farklı şifreleyiciler kullandığı için bu hatadan etkilenmiyor.
Microsoft, etkilenen kullanıcıların Microsoft.AspNetCore.DataProtection paketini bir an önce 10.0.7 sürümüne güncellemesini tavsiye ediyor. Ancak bu sadece ilk adım. Eğer uygulamalar güvenlik açığı bulunan sürüm kullanılırken internete açık uç noktalar sunuyorsa, kullanıcıların DataProtection anahtar halkasını döndürmesi gerekiyor. Ayrıca, bu süre zarfında oluşturulmuş olabilecek uygulama düzeyindeki uzun ömürlü yapıların da denetlenip döndürülmesi şart.
Yüksek Risk: 9.1 Dereceli Açık ve Acil Eylem Gereği
Microsoft, CVE-2026-40372 kodlu bu güvenlik açığının maksimum ciddiyet derecesini 10 üzerinden 9.1 olarak belirledi. Bu yüksek puan, açığın ne kadar kritik olduğunu gösteriyor ve ASP.NET Core Data Protection kullanan tüm geliştiriciler için acil güncelleme ve ek güvenlik önlemleri almanın önemini vurguluyor.