Microsoft ออกอัปเดตฉุกเฉินเพื่อแก้ไขช่องโหว่ ASP.NET Core

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ข่าวสารภัยคุกคามทางไซเบอร์และพบประกาศ Microsoft ออกอัปเดตฉุกเฉิน เพื่อแก้ไขปัญหาที่ส่งผลกระทบของ ASP.NET Core[1]

1.รายละเอียดช่องโหว่[2]

CVE-2026-40372(CVSS version 3.1 : 9.1) เป็นช่องโหว่นี้เกิดจาก Improper verification of cryptographic signature (การตรวจสอบลายเซ็นเข้ารหัสไม่ถูกต้อง) ทำให้ผู้โจมตีสามารถยกระดับสิทธิ์ (Privilege Escalation) ผ่านการโจมตีแบบ remote ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อเข้าถึงหรือดัดแปลงข้อมูลที่ควรอยู่ภายใต้สิทธิ์ผู้ใช้ระดับสูงขึ้น หรือควบคุมบางส่วนของแอปพลิเคชันที่ใช้ ASP.NET Core

2. เวอร์ชันที่ได้รับผลกระทบ[3]

• ASP.NET Core 10.0.0 – 10.0.6 (แพ็กเกจ Microsoft.AspNetCore.DataProtection reference )
• แอปพลิเคชันทํางานบน Linux, macOS หรือระบบปฏิบัติการอื่นที่ไม่ใช่ Windows

3.แนวทางการแก้ไข [4]

ตรวจสอบโปรเจกต์ทุกตัวในองค์กรที่ใช้ ASP.NET Coreแล้วอัปเดตเป็นเวอร์ชัน 10.0.7ล่าสุด

4.มาตรการชั่วคราวหากยังไม่สามารถอัปเดตได้ทันที

• จำกัดการเข้าถึงผ่านเครือข่าย ที่สามารถเข้าถึงแอป ASP.NET Core
• ใช้ระบบตรวจจับและป้องกันการบุกรุก (IDS/IPS) เพื่อเฝ้าระวังพฤติกรรมผิดปกติ
• จำกัดสิทธิ์การทำงานของแอป(least privilege)
• แยกแอปไปยังเครือข่ายย่อย (segment)

 

แหล่งอ้างอิง

[1] https://dg.th/v826ehkit1

[2] https://dg.th/m7z45cst86

[3] https://dg.th/em96ax5zih

[4] https://dg.th/qel7hu6i82