CVE-2025-55315

Podatność wynika z niespójnej interpretacji żądań HTTP (CWE-444) przez komponenty ASP.NET Core. Atakujący wysyła spreparowane żądania HTTP, które są różnie parsowane przez serwer front-end i back-end, co powoduje rozbieżność w rozgraniczeniu granic poszczególnych żądań. Dzięki temu możliwe jest przemycenie dodatkowych żądań HTTP, które omijają kontrole bezpieczeństwa stosowane przez pośrednie warstwy infrastruktury (np. reverse proxy, firewalle aplikacyjne). Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika, a do jego przeprowadzenia wystarczy posiadanie podstawowych uprawnień (PR:L).

Uwierzytelniony atakujący może ominąć funkcje bezpieczeństwa aplikacji, co w kontekście HTTP request smuggling może prowadzić do nieautoryzowanego dostępu do danych, przejęcia sesji innych użytkowników lub dalszej eskalacji uprawnień. Wysoki wpływ na poufność i integralność (C:H, I:H) wskazuje na możliwość ujawnienia wrażliwych danych oraz modyfikacji zasobów aplikacji.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja powinna być wdrożona niezwłocznie ze względu na krytyczny poziom zagrożenia. Szczegółowe informacje o wersjach zawierających poprawkę dostępne są pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-55315. Do czasu wdrożenia patcha należy rozważyć restrykcyjną konfigurację warstw proxy i firewalli aplikacyjnych w celu ograniczenia możliwości przemycenia żądań.

Microsoft Visual Studio 2022 oraz Microsoft ASP.NET Core — dokładne wersje wskazane w referencjach producenta (MSRC).

Dostępna jest publiczna analiza techniczna podatności pod adresem https://andrewlock.net/understanding-the-worst-dotnet-vulnerability-request-smuggling-and-cve-2025-55315/ oraz publiczny proof-of-concept na platformie GitHub. Mimo braku wpisu w CISA KEV, dostępność publicznego PoC zwiększa ryzyko aktywnego wykorzystania tej podatności.