Vulnerabilidade crítica no ASP.NET permite ataques de requisições HTTP maliciosas

A Microsoft lançou uma atualização de segurança para corrigir uma vulnerabilidade crítica no ASP.NET Core, identificada como CVE-2025-55315, que expõe organizações a ataques de ‘HTTP request smuggling’. Com uma pontuação CVSS 3.1 de 9.9, a gravidade da falha exige uma correção imediata em ambientes corporativos. A vulnerabilidade surge da forma como o servidor web Kestrel, parte do ASP.NET Core, processa requisições HTTP. Em determinadas condições, o servidor não valida corretamente os limites das requisições, permitindo que atacantes criem requisições maliciosas que ocultam outras requisições dentro delas. Isso pode contornar controles de segurança críticos, como autenticação e validação de entrada.

O ‘HTTP request smuggling’ explora discrepâncias na interpretação do protocolo HTTP por diferentes componentes de rede, como proxies e servidores de backend. A técnica permite que requisições ocultas sejam injetadas, possibilitando ações não autorizadas sem acionar os controles de segurança padrão. Organizações que lidam com dados sensíveis, como informações financeiras e de saúde, estão particularmente em risco. A atualização da Microsoft aborda diretamente a deficiência de análise de requisições no Kestrel, e sua implementação deve ser priorizada, especialmente em aplicações expostas à internet.

Fonte: https://cyberpress.org/asp-net-vulnerability/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).