CVE-2026-40372: MicrosoftがASP.NET Coreの特権昇格脆弱性にパッチを配布

Microsoftは、攻撃者に影響を受けたシステムの完全な制御を許す可能性のあるASP.NET Coreの脆弱性を修正するための臨時更新をリリースしました。

この欠陥は認証されていない特権昇格を可能にし、.NETワークロードを実行する企業のリスクを増加させます。

「ASP.NET Coreの暗号署名の不適切な検証により、権限のない攻撃者がネットワークを通じて特権を昇格させることができる」と述べたMicrosoftは、その勧告で述べています。

CVE-2026-40372の詳細

この脆弱性CVE-2026-40372は、認証Cookie、偽造防止トークン、およびその他の機密アプリケーションデータを保護する責任がある基本的なコンポーネントであるData Protection APIに依存するASP.NET Coreアプリケーションに影響します。

このメカニズムはユーザーとWebアプリケーション間の信頼を確立するために中央的な役割を果たしているため、その検証ロジックのいかなる弱点も広範な結果をもたらす可能性があります。

悪用された場合、攻撃者は正当なユーザーになりすまし、特権をSYSTEMレベルに昇格させ、影響を受けた環境全体の機密リソースへの無許可アクセスを獲得する可能性があります。

Microsoftは、この問題がMicrosoft.AspNetCore.DataProtectionバージョン10.0.0～10.0.6に影響することを確認しており、組織がこの月のパッチチューズデー更新中に知らず知らずのうちに脆弱性を導入した可能性があることを意味しています。

この欠陥は、暗号検証プロセスの回帰に由来しています。

管理された認証エンクリプタは、ペイロードの誤った部分に対してそのHMAC検証タグを誤って計算し、場合によっては、それを完全に検証することができません。

これにより、Data Protectionシステムが実施するように設計された整合性保証が破られ、改ざんされたまたは偽造されたデータをアプリケーションによって正当なものとして扱うことが実質的に可能になります。

その結果、攻撃者は真正性チェックを回避し、有効なものとして受け入れられる悪意のあるペイロードを作成できます。

これにより、認証Cookieの偽造、偽造防止トークンの操作、および以前に保護されたデータの復号化を含む、一連の攻撃シナリオが可能になります。

攻撃者は、セッショントークン、APIキー、またはパスワードリセットリンクなどの有効な署名付きトークンを発行するようにアプリケーションを騙すこともでき、キーがローテーションされ、トークンが無効にされない限り、パッチ適用後も使用可能なままの可能性があります。

Microsoftは問題に対処するための臨時パッチをリリースしており、公開時点で、実際に起こっている悪用の証拠は報告されていません。

この欠陥は認証およびトークン検証プロセスに影響するため、組織は修復への包括的なアプローチを取るべきです。

更新の適用を超えて、チームは潜在的に影響を受けたトークンを無効化し、認証制御を強化し、異常なアクティビティを監視する必要があります。

最新のパッチを適用し、本番環境にデプロイする前にテストします。
暗号キーをローテーションし、機密認証情報を再発行します。APIキーとトークンを含めて、潜在的に侵害された成果物を排除します。
既存のセッションを無効化し、再認証を実施しながら、トークンのライフタイムを短縮して露出ウィンドウを減らします。
フィッシング耐性のあるMFAを実施し、機密アクションのステップアップ認証を実施し、デバイスまたは場所などのユーザーコンテキストを検証することで、認証制御を強化します。
監視し、認証ログを分析することで疑わしいアクティビティを検出します。トークン使用異常と無許可の特権昇格の兆候を含めて監視します。
最小権限アクセス、ネットワークセグメンテーション、アプリケーションレベルの検証、およびWAF保護など、防御のための多層的な措置を実装します。
インシデント対応計画をテストし、攻撃シミュレーションツールを特権昇格シナリオで使用します。

総合的に、これらの措置は、組織が潜在的な悪用への露出を減らしながら、将来の認証および特権昇格の脅威に対する全体的な耐性を強化するのに役立ちます。

この脆弱性は、暗号実装の小さな変更がいかに意味のあるセキュリティギャップを導入できるかを強調しており、特にコア検証ロジックに影響する場合です。

組織がASP.NET Coreのようなフレームワークに認証とデータ保護を引き続き依存している場合、これらの基礎となるコンポーネントの問題は複数のアプリケーションとサービスに同時に影響を与える可能性があり、全体的なリスク領域を増加させます。

このタイプのリスクは、ゼロトラストアプローチの価値を強化しており、継続的な検証と厳格なアクセス制御は基礎となるシステムの弱点の影響を制限するのに役立ちます。