Microsoft vá khẩn lỗ hổng ASP.NET Core cho phép leo thang đặc quyền SYSTEM

[WhiteHat Team]

Microsoft vừa phát hành bản vá khẩn cấp để xử lý lỗ hổng CVE-2026-40372 trong ASP.NET Core. Đây là lỗi nghiêm trọng trong cơ chế mật mã của nền tảng, có thể làm suy yếu quá trình mã hóa và xác thực dữ liệu. Với điểm CVSS 9.1, lỗ hổng cho phép kẻ tấn công không cần xác thực có thể leo thang đặc quyền lên mức SYSTEM, biến các ứng dụng web thành điểm yếu trong hệ thống doanh nghiệp, đặc biệt trên Linux và macOS.
​

Theo thông báo từ Microsoft, CVE-2026-40372 xuất phát từ thành phần Data Protection trong ASP.NET Core, cơ chế chịu trách nhiệm mã hóa và xác thực các dữ liệu nhạy cảm như cookie đăng nhập, token và session. Lỗ hổng xuất hiện trong các phiên bản từ 10.0.0 đến 10.0.6, liên quan đến quá trình kiểm tra HMAC. Sai lệch trong cơ chế này khiến việc xác thực chữ ký không còn đảm bảo độ chính xác, dẫn đến khả năng hệ thống chấp nhận dữ liệu giả mạo trong một số trường hợp.

Ở lớp sâu hơn, tài liệu kỹ thuật cho thấy vấn đề liên quan đến regression trong authenticated encryptor, làm gián đoạn cách hệ thống xử lý xác thực nội bộ. Thay vì thực thi đầy đủ chuỗi kiểm tra tính toàn vẹn, một số bước xác minh có thể không được áp dụng nhất quán, khiến cơ chế bảo vệ dữ liệu bị suy yếu và tạo điều kiện để payload giả vượt qua lớp kiểm tra bảo mật.

Việc khai thác chỉ xảy ra khi ứng dụng sử dụng đúng các phiên bản thư viện bị ảnh hưởng và thành phần Data Protection của ASP.NET Core được nạp trong quá trình chạy. Ngoài ra, hệ thống phải triển khai trên Linux hoặc macOS, thay vì môi trường Windows.

Khi khai thác thành công, kẻ tấn công có thể chiếm quyền phiên đăng nhập để mạo danh người dùng hợp lệ, từ đó truy cập trái phép vào dữ liệu và các chức năng nội bộ của ứng dụng, đồng thời có khả năng chỉnh sửa hoặc đánh cắp thông tin quan trọng. Nếu điều kiện khai thác thuận lợi, chuỗi tấn công có thể tiếp tục bị đẩy lên mức leo thang đặc quyền SYSTEM, cho phép thực thi lệnh với quyền cao nhất trên máy chủ, qua đó dẫn đến khả năng kiểm soát toàn bộ hệ thống, bao gồm dữ liệu, dịch vụ và cấu hình vận hành.

Microsoft cho biết lỗ hổng CVE-2026-40372 đã được khắc phục trong phiên bản ASP.NET Core 10.0.7. Bản vá sửa lỗi trong cơ chế Data Protection, qua đó ngăn chặn khả năng xử lý sai HMAC và xác thực dữ liệu không chính xác, vốn là nguyên nhân dẫn đến việc tạo và chấp nhận payload giả mạo trong hệ thống.

Tuy nhiên, Microsoft cũng cảnh báo rằng nếu payload giả đã từng được sử dụng thành công trong thời gian hệ thống bị ảnh hưởng, các token hợp lệ như session, API key hoặc liên kết đặt lại mật khẩu vẫn có thể tiếp tục hoạt động ngay cả sau khi nâng cấp. Do đó, ngoài việc cập nhật bản vá, quản trị viên cần thực hiện xoay vòng Data Protection key ring để loại bỏ toàn bộ khóa cũ và giảm nguy cơ bị khai thác lại.
​

Theo The Hacker News​