Критическая уязвимость контрабанды HTTP-запросов в ASP.NET Core — CVE-2026-88092
В ASP.NET Core обнаружена уязвимость критического уровня CVE-2026-88092, связанная с непоследовательной интерпретацией HTTP-запросов (HTTP request/response smuggling). Проблема затрагивает версии 8.0, 9.0, 10.0, 11.0 и Microsoft Visual Studio 2022/2026. CVSS-оценка — 9.4, что требует незамедлительных действий.
Подробности
Проблема вызвана непоследовательной интерпретацией HTTP-запросов в ASP.NET Core. Когда разные компоненты цепочки обработки (например, прокси-сервер и сервер приложений) по-разному разбирают границы запросов, возникает расхождение, которым может воспользоваться неавторизованный атакующий. Это позволяет удалённо выполнять манипуляции с данными (tampering) через сеть без предварительной аутентификации. Уязвимость затрагивает следующие продукты и версии: - Microsoft ASP.NET Core 8.0; - Microsoft ASP.NET Core 9.0; - Microsoft ASP.NET Core 10.0; - Microsoft ASP.NET Core 11.0; - Microsoft Visual Studio 2022 версии 17.14; - Microsoft Visual Studio 2026 версии 18.10. Столь широкий охват версий, включая актуальные ветки платформы, делает угрозу особенно значимой для организаций, использующих .NET для веб-приложений и микросервисов. Высокая базовая оценка CVSS 9.4 отражает низкую сложность эксплуатации и серьёзность потенциального воздействия на целостность и конфиденциальность данных.Что делать
Microsoft уже должна выпустить обновления безопасности, устраняющие расхождение в разборе HTTP-запросов. Основные рекомендации: 1. Обновить ASP.NET Core до последних версий (8.0, 9.0, 10.0, 11.0) и установить актуальные патчи для Visual Studio 2022 (17.14) и Visual Studio 2026 (18.10). 2. Проверить конфигурацию обратных прокси и балансировщиков нагрузки: убедиться, что все компоненты используют единые правила нормализации HTTP-заголовков (Content-Length, Transfer-Encoding). 3. По возможности включить строгую валидацию входящих запросов на периметре и ограничить приём запросов из недоверенных источников. 4. Мониторить логи на предмет аномалий, характерных для попыток контрабанды запросов. Итог: CVE-2026-88092 — критическая уязвимость, требующая приоритетного внимания со стороны администраторов и разработчиков, работающих с ASP.NET Core и Visual Studio. Оперативное обновление и корректная настройка сетевой инфраструктуры существенно снижают риск эксплуатации.Источник: CVE Project (cvelistV5)