Microsoft heeft met spoed een beveiligingsupdate uitgebracht voor een ernstig lek in ASP.NET Core dat aanvallers onder bepaalde omstandigheden de weg kan openen naar privilege escalation op afstand. Het lek, geregistreerd als CVE-2026-40372, kreeg een CVSS score van 9,1 en draait om een fout in de verificatie van cryptografische handtekeningen binnen ASP.NET Core Data Protection. Volgens Microsoft kan een succesvolle aanval ertoe leiden dat een onbevoegde partij zich meer rechten toe-eigent, bestanden uitleest of data wijzigt, mits de kwetsbare component daadwerkelijk in gebruik is.<\/p>\n\n\n\n
De kwetsbaarheid zit niet in elke ASP.NET Core omgeving, maar treft vooral systemen die de NuGet package Technisch gezien is het probleem gevaarlijk omdat de library in een reeks versies een regressie bevatte waardoor de HMAC validatietag over de verkeerde bytes van de payload werd berekend en in sommige gevallen zelfs werd genegeerd. Daardoor konden vervalste payloads toch door de authenticiteitscontrole glippen en konden eerder beschermde payloads, zoals authenticatiecookies en antiforgery tokens, worden ontsleuteld. Beveiligingsonderzoekers en leveranciers waarschuwen daarom dat dit niet alleen een theoretisch cryptografisch mankement is, maar een fout die rechtstreeks kan ingrijpen in sessies, loginstromen en vertrouwelijke applicatielogica.<\/p>\n\n\n\n De schade stopt ook niet automatisch zodra een organisatie de nieuwe versie installeert. Microsoft waarschuwt expliciet dat aanvallers die tijdens het kwetsbare venster al vervalste payloads gebruikten om zich als bevoorrechte gebruiker voor te doen, mogelijk legitiem ondertekende tokens hebben weten te verkrijgen, zoals sessieverversingen, API sleutels of wachtwoordresetlinks. Zulke tokens kunnen geldig blijven na de upgrade, tenzij de DataProtection key ring actief wordt geroteerd.<\/p>\n\n\n\n Voor ontwikkelaars en systeembeheerders betekent dit dat een gewone package update alleen onvoldoende kan zijn als zij niet tegelijk hun sessiebeheer, tokenuitgifte en sleutelbeheer nalopen. Organisaties met Linux gebaseerde containers, macOS build of teststraten en cloudomgevingen waarin ASP.NET Core authenticatie zwaar leunt op Data Protection doen er verstandig aan direct te controleren welke versie werkelijk geladen wordt, welke cookies of tokens in omloop zijn en of sleutelrotatie operationeel veilig kan worden uitgevoerd. Beveiligingsdatabases van NVD en CVE verwijzen inmiddels formeel naar het Microsoft advies, wat bevestigt dat het lek sinds 21 april 2026 publiek geregistreerd en beoordeeld is.<\/p>\n\n\n\n In Suriname hoort deze waarschuwing niet alleen thuis bij grote banken of telecombedrijven, maar ook bij webbouwers, overheidsportalen, hostingpartijen en softwareteams die afhankelijk zijn van standaard libraries zonder dieper zicht op hun cryptografische gedrag. Een moderne digitale infrastructuur wordt niet alleen sterker door nieuwe functies of snellere apps, maar vooral door strak patchbeheer, zicht op afhankelijkheden en het vermogen om na een update ook sleutels, sessies en vertrouwensketens opnieuw schoon te trekken. Het echte verschil wordt gemaakt door organisaties die een lek niet behandelen als een technisch detail voor de serverruimte, maar als een directe bedreiging voor identiteit, toegang en vertrouwen in hun hele digitale omgeving.<\/p>\n\n\n\n Volg Ko\u2019W\u2019 Checking voor nieuws, data en meer gesprekken over samenleving, ondernemerschap, leiderschap en ontwikkeling, op de Facebookpagina<\/a>, TIKTOK<\/a> and Youtube kanaal<\/a>. Voor alle nieuws uit Suriname en de wereld check: www.kowchecking.com<\/a><\/p>\n\n\n\n Timothy Zuiverloon<\/p>\n\n\n\n avigdor.tech<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":"Microsoft heeft met spoed een beveiligingsupdate uitgebracht voor een ernstig lek in ASP.NET Core dat aanvallers onder bepaalde…","protected":false},"author":2,"featured_media":11866,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17,2,42],"tags":[33,58,46,47,22],"class_list":["post-11865","post","type-post","status-publish","format-standard","has-post-thumbnail","category-actueel","category-buitenlands-nieuws","category-cyber-security-and-safety","tag-avigdor","tag-buitenlandsnieuws-voor-suriname","tag-cyber-security-bedrijf-in-suriname-avigdor","tag-cyber-veiligheid-suriname","tag-kowchecking","cs-entry","cs-video-wrap"],"yoast_head":"\nMicrosoft.AspNetCore.DataProtection<\/code> versie 10.0.6 gebruiken, of pakketten die daarvan afhankelijk zijn, zoals varianten met Redis ondersteuning. Microsoft maakt duidelijk dat de risicovolle situatie alleen ontstaat wanneer precies die library tijdens runtime wordt geladen en de applicatie draait op Linux, macOS of een andere niet Windows omgeving. De fout is inmiddels verholpen in versie 10.0.7, die via een out of band update is vrijgegeven buiten het normale patchritme om.<\/p>\n\n\n\n