11月18日消息，接近微軟近日發(fā)布安全公告，滿分緊急修補了ASP.NET Core中的微軟一個關(guān)鍵漏洞，該漏洞（CVE-2025-55315）CVSS評分達(dá)到9.9分（滿分10分），修復(fù)成為微軟漏洞庫中評分最高的評分漏洞。

該漏洞存在于ASP.NET Core 10.0、達(dá)分9.0、關(guān)鍵8.0版本以及Kestrel包的漏洞2.x版本中，它允許具備一定權(quán)限的接近攻擊者，通過利用HTTP請求和響應(yīng)的滿分不一致解析，來繞過一項重要的微軟網(wǎng)絡(luò)安全特性。

微軟明確指出，修復(fù)對于HTTP 請求/響應(yīng)走私（HTTP Request/Response Smuggling）場景，評分當(dāng)前并沒有現(xiàn)成的達(dá)分措施可以緩解。

HTTP請求走私是關(guān)鍵一種常見的攻擊方式，利用服務(wù)器和代理解析HTTP請求頭字段（如Content-Length或Transfer-Encoding）時的差異，將一個惡意請求隱藏在另一個合法請求中。

微軟.NET安全技術(shù)產(chǎn)品經(jīng)理巴里·多蘭斯（Barry Dorrans）解釋了該漏洞獲得高分的原因：

“這個漏洞使得HTTP請求走私成為可能。我們是根據(jù)這個漏洞對基于ASP.NET Core構(gòu)建的應(yīng)用程序可能產(chǎn)生的影響來評分的，而不是單獨評估漏洞本身。”

根據(jù)應(yīng)用程序處理請求的方式，若未及時修復(fù)，該漏洞可能導(dǎo)致權(quán)限提升、服務(wù)器端請求偽造、跨站請求偽造、繞過輸入驗證的注入攻擊等。

微軟強(qiáng)烈建議開發(fā)人員立即采取行動，升級到官方列出的修復(fù)版本，開發(fā)人員必須安裝ASP.NET Core 8、9或10運行時/SDK的補丁版本，或?qū)icrosoft.AspNetCore.Server.Kestrel.Core更新到2.3.6或更高版本。

對于缺乏官方支持的.NET 6，可能需要依賴第三方發(fā)布的版本來解決該漏洞。

• ·平板總是斷觸 聯(lián)想想幫幫AI服務(wù)智能體一鍵診斷解決
• ·第一塊“月壤磚”從太空返回：比普通磚強(qiáng)三倍 可建月球基地
• ·盛色推出新款24.5寸顯示器：FHD 260Hz屏到手僅659元
• ·英偉達(dá)又遭清倉！繼軟銀后 “硅谷風(fēng)投教父”也出手了
• ·華為Mate 30 RS保時捷被火燒到面目全非：還能充電玩游戲
• ·英偉達(dá)又遭清倉！繼軟銀后 “硅谷風(fēng)投教父”也出手了
• ·（粵港澳全運會）王曼昱：無論誰奪冠都值得被認(rèn)可
• ·小米盧偉冰：越來越多的Pro Max來了！
• ·夸克宣布接入千問對話助手，將發(fā)布新AI瀏覽器
• ·華為Mate 80系列官圖來了：全新雙環(huán)設(shè)計 史上最美Mate
• ·家電行業(yè)最多！海爾智家包攬ICQCC大賽4項金獎
• ·醫(yī)者言綱：用奉獻(xiàn)詮釋醫(yī)者仁心
• ·（粵港澳全運會）廣東隊選手莫家蝶十五運會女子400米欄摘金
• ·索尼要走回頭路！停止向PC端移植游戲：回歸主機(jī)獨占
• ·分辨率優(yōu)于0.5米！三顆新的吉林一號高分衛(wèi)星出征
• ·寧德時代市值蒸發(fā)近千億！聯(lián)合創(chuàng)始人擬百億級減持