Awaryjna aktualizacja .NET - odpowiedź na groźną lukę

Microsoft od lat rozwija platformę .NET, będącą fundamentem dla wielu aplikacji działających na miliardach urządzeń. Jak podaje Neowin, firma wsparła najnowszą wersję środowiska pilną aktualizacją poza ustalonym harmonogramem. Decyzja została podjęta po wykryciu poważnej luki wykorzystywanej do eskalacji uprawnień.

Po tradycyjnej łatce publikowanej w Patch Tuesday, część użytkowników zaczęła zgłaszać problemy z odszyfrowywaniem danych w aplikacjach opartych o .NET. Microsoft, analizując napływające zgłoszenia, odkrył, że przyczyną jest nie tylko błąd w dekodowaniu, lecz także nowo rozpoznana luka, oznaczona jako CVE-2026-40372.

Jak wskazuje serwis, błąd ten umożliwia atakującemu podniesienie uprawnień do poziomu SYSTEM oraz manipulację poufnymi danymi. Podatność wykryto w paczce Microsoft.AspNetCore.DataProtection NuGet, gdzie mechanizm uwierzytelniania mógł przetwarzać nieprawidłowe dane, co prowadziło do błędnej weryfikacji HMAC.

Ważną informacją jest, że zagrożenie dotyczy wszystkich środowisk innych niż Windows używających .NET 10.0.6, w tym Linux i macOS. Każda aplikacja uruchamiana na tych systemach może być potencjalnie zagrożona, szczególnie jeśli bazuje na wspomnianym mechanizmie ochrony danych. Microsoft zaleca dokładną weryfikację konfiguracji oraz ekspresową instalację poprawki.

W odpowiedzi na zgłoszone zagrożenie firma wydała wersję .NET 10.0.7, zawierającą nie tylko łatkę na podatność, ale także poprawiającą problemy z odszyfrowywaniem danych. Microsoft podkreśla, że jedynym skutecznym sposobem ochrony jest aktualizacja biblioteki i ponowna instalacja zależnych aplikacji po wdrożeniu poprawki.

Niepokojący poziom ryzyka oraz szybka reakcja Microsoftu akcentują wagę problemu. Skuteczne wykorzystanie tej podatności pozwala intruzowi na odczytywanie lub zmianę danych systemowych.