Microsoft Security Advisory CVE-2026-88092 – luka obejścia zabezpieczeń w ASP.NET Core
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie
Firma Microsoft opublikowała niniejszy biuletyn bezpieczeństwa, aby przedstawić informacje o luce w zabezpieczeniach w bibliotece Microsoft.AspNetCore.Server.Kestrel.Core oraz przekazać deweloperom wskazówki dotyczące aktualizacji aplikacji w celu jej wyeliminowania.
Przerwane połączenie Kestrel HTTP/1 może spowodować ponowne przetworzenie nieprzeczytanych bajtów treści żądania jako nowego żądania, co stwarza podatność na przemyt żądań HTTP (HTTP request smuggling) lub desynchronizację.
Komunikat
Oficjalny komunikat dotyczący tej kwestii znajduje się pod adresem: https://github.com/dotnet/announcements/issues/472
Szczegóły CVSS
- Wersja: 3.1
- Poziom ważności: Krytyczny
- Wynik: 9.4
- Wektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L - Słabość: CWE-444 (Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling'))
Platformy, których dotyczy problem
- Systemy operacyjne: Windows, Linux, macOS
- Architektury: Wszystkie
Pakiety, których dotyczy problem
Luka dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej wersji pakietów.
Często zadawane pytania (FAQ)
Jak sprawdzić, czy dotyczy mnie ten problem?
Jeśli używasz pakietu wymienionego w sekcji dotyczącej pakietów objętych problemem, aplikacja jest narażona na tę podatność.
Jak naprawić ten problem?
- Aby rozwiązać ten problem, zainstaluj najnowszą wersję platformy .NET. Jeśli co najmniej jeden zestaw .NET SDK został zainstalowany za pośrednictwem programu Visual Studio, Visual Studio wyświetli monit o aktualizację, która zaktualizuje również pakiety .NET SDK.
- Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj odwołanie do wersji załatanej. Listę zainstalowanych wersji można wyświetlić, uruchamiając polecenie
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub zestawu SDK uruchom ponownie aplikacje, aby aktualizacja zaczęła obowiązywać.
Ponadto w przypadku wdrożenia aplikacji autonomicznych (self-contained) korzystających z którejkolwiek z wersji objętych usterką, aplikacje te są również podatne i muszą zostać ponownie skompilowane oraz wdrożone.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji platformy .NET należy zgłosić go do Microsoft Security Response Center (MSRC) za pośrednictwem Portalu Badaczy MSRC.. Więcej informacji można znaleźć w dokumencie MSRC Report an Issue FAQ..
Zgłoszenia dotyczące bezpieczeństwa przesłane za pośrednictwem MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły programu Microsoft .NET Bounty, w tym warunki uczestnictwa, są dostępne pod adresem https://aka.ms/corebounty..
Pomoc techniczna
Pytania dotyczące tej kwestii można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium ogłoszeń (https://github.com/dotnet/Announcements) będzie zawierać ten biuletyn jako zgłoszenie wraz z łączem do dyskusji, w której można zadawać pytania.
Zastrzeżenie prawne
Informacje zawarte w tym biuletynie są dostarczane w stanie „takim, w jakim są”, bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody następcze lub przypadkowe, dlatego powyższe ograniczenie może nie mieć zastosowania.
Linki zewnętrzne
Podziękowania
- thegoldmandm
Historia wersji
V1.0 (10/13/2026): Biuletyn został opublikowany.
Co trzeba zrobić
Aby usunąć tę podatność, wykonaj następujące kroki:
- Zainstaluj najnowszą wersję platformy .NET. Jeśli pakiety .NET SDK były instalowane przez Visual Studio, zaktualizuj środowisko Visual Studio zgodnie z monitem.
- Zaktualizuj odwołania do pakietów w aplikacjach do wersji załatanych (wersje można sprawdzić poleceniem
dotnet --info). - Po zaktualizowaniu środowiska uruchomieniowego lub zestawu SDK zrestartuj aplikacje.
- Aplikacje autonomiczne (self-contained) wymagają ponownej kompilacji oraz ponownego wdrożenia.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x86 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Słabość (CWE)
CWE-444- Platforma
- .NET (NuGet)
- Paczka
Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64, Microsoft.AspNetCore.App.Runtime.linux-musl-arm- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-rv87-ccxw-8ggf - CC BY 4.0
Historia podatności: Microsoft.AspNetCore.App.Runtime.linux-arm
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 25
- Pierwsza → ostatnia
- 05.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 3
- Wysoka 19
- Średnia 3
Ujawnienia w latach
- 2022: 12
- 2023: 1
- 2024: 5
- 2025: 2
- 2026: 5
-
Microsoft Security Advisory CVE-2026-88092 – luka obejścia zabezpieczeń w ASP.NET Core ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.