B
今週中
Microsoftは、ASP.NET Coreのデータ保護機能における深刻な権限昇格の脆弱性（CVE-2026-40372）を修正する緊急アップデート
📌 一言でいうと
Microsoftは、ASP.NET Coreのデータ保護機能における深刻な権限昇格の脆弱性（CVE-2026-40372）を修正する緊急アップデートを公開しました。この脆弱性は、認証クッキーなどの検証プロセスに不備があり、攻撃者が偽造したデータを正常なものとして処理させ、SYSTEM権限まで奪取できる可能性があります。影響を受けるのはMicrosoft.AspNetCore.DataProtectionのバージョン10.0.0から10.0.6を使用し、主にLinuxやmacOSなどの非Windows環境で動作しているケースです。
🏢影響範囲
Microsoft.AspNetCore.DataProtection (v10.0.0-10.0.6) を利用し、Linux/macOS等の非Windows環境で運用している組織・アプリケーション
✅対応のポイント
影響を受けるNuGetパッケージを最新バージョンに更新してください。また、攻撃者が既に特権を奪取してセッション更新トークンやAPIキーを再発行させた可能性があるため、パッチ適用後のセッション管理の見直しとトークンの無効化を検討してください。