CVE-2024-43498

Podatność sklasyfikowana jest jako CWE-843 (Type Confusion), co oznacza błąd polegający na nieprawidłowej interpretacji typu danych przez środowisko uruchomieniowe .NET. Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nieprawidłowe przetwarzanie typów obiektów, prowadząc do wykonania niezamierzonego kodu. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co znacząco zwiększa jego potencjalny zasięg.

Skuteczne wykorzystanie podatności daje atakującemu pełną kontrolę nad systemem — możliwe jest uzyskanie poufnych danych, modyfikacja zasobów oraz całkowite naruszenie dostępności systemu (pełna triada CIA: poufność, integralność, dostępność).

Należy niezwłocznie zastosować patche udostępnione przez Microsoft w ramach aktualizacji z listopada 2024 (Patch Tuesday, 12.11.2024). Szczegółowe informacje o dostępnych wersjach poprawek znajdują się w poradniku Microsoft Security Response Center pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43498

Microsoft .NET, Microsoft Visual Studio 2022 działające na systemach Microsoft Windows, Apple macOS oraz Linux. Szczegółowe wersje wskazane w referencjach producenta (MSRC).

Podatność opublikowana 12 listopada 2024 r. w ramach cyklicznego Patch Tuesday firmy Microsoft. Dotyczy wyjątkowo szerokiego zakresu platform (Windows, macOS, Linux), co znacząco zwiększa potencjalną powierzchnię ataku w środowiskach wieloplatformowych.