Kritieke kwetsbaarheid in ASP.NET Core en Visual Studio (CVE-2025-55315)

Er is een ernstige kwetsbaarheid ontdekt in ASP.NET Core en Visual Studio. Deze kwetsbaarheid, geregistreerd als CVE-2025-55315, heeft een CVSS-score van 9,9 en wordt beschouwd als kritiek. Het gaat om een HTTP request smuggling-bug in de Kestrel-webserver die het mogelijk maakt dat aanvallers beveiligingscontroles omzeilen of sessies van andere gebruikers overnemen.

Wat is er aan de hand

De kwetsbaarheid stelt geauthenticeerde aanvallers in staat om gemanipuleerde HTTP-verzoeken te smokkelen. Daarmee kunnen zij inloggegevens van andere gebruikers onderscheppen, bestanden wijzigen op de server of zelfs een crash veroorzaken. Dit kan leiden tot verlies van vertrouwelijkheid, integriteit en beschikbaarheid van systemen.

Microsoft heeft inmiddels beveiligingsupdates uitgebracht om het probleem te verhelpen.

Getroffen producten

De kwetsbaarheid is van invloed op de volgende omgevingen:

• Microsoft Visual Studio 2022

• ASP.NET Core 2.3, 8.0 en 9.0

• Microsoft.AspNetCore.Server.Kestrel.Core-pakket (voor ASP.NET Core 2.x-apps)

Aanbevolen acties

Om de risico’s te beperken, adviseert Wortell de volgende maatregelen:

1. Update naar de laatste beveiligingsversies.

• Gebruik je .NET 8 of hoger? Installeer de nieuwste .NET-update via Microsoft Update en start de toepassing of server opnieuw op.

• Gebruik je .NET 2.3? Werk de pakketreferentie voor Microsoft.AspNet.Server.Kestrel.Core bij naar versie 2.3.6, compileer opnieuw en implementeer de applicatie opnieuw.

• Gebruik je een standalone single-file app? Installeer de .NET-update, compileer opnieuw en voer opnieuw uitrol uit.

2. Controleer of alle updates zijn toegepast.
Microsoft heeft beveiligingsupdates uitgebracht voor Visual Studio 2022 en ASP.NET Core-versies 2.3, 8.0 en 9.0.

Raadpleeg de officiële Microsoft Security Guidance voor meer informatie:
 CVE-2025-55315 – ASP.NET Security Feature Bypass Vulnerability (Microsoft)

Wortell-advies

Heb je vragen of twijfel je of jouw omgeving kwetsbaar is? Neem dan contact op via de gebruikelijke kanalen of maak een ticket aan in het Selfservice Portal.