KB5091596 — Mise à jour de sécurité pour ASP.NET Core 10.0

Aperçu

KB5091596 est une mise à jour de sécurité critique publiée le 21 avril 2026 pour ASP.NET Core 10.0. Cette mise à jour corrige plusieurs vulnérabilités de haute gravité qui pourraient permettre aux attaquants de contourner les mécanismes d'authentification, de provoquer des conditions de déni de service ou d'accéder à des informations sensibles de l'application. La mise à jour est essentielle pour tous les environnements exécutant des applications ASP.NET Core 10.0 et doit être déployée immédiatement sur les systèmes de production.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout trois vulnérabilités de sécurité critiques identifiées dans ASP.NET Core 10.0 :

CVE-2026-21001 : Vulnérabilité de contournement de l'authentification

Une vulnérabilité critique dans ASP.NET Core Identity permet aux attaquants de contourner les mécanismes d'authentification en exploitant des faiblesses dans la validation des jetons JWT. Cette vulnérabilité affecte les applications utilisant ASP.NET Core Identity pour l'authentification des utilisateurs et pourrait permettre un accès non autorisé à des ressources protégées. Le score CVSS pour cette vulnérabilité est de 8.1 (Élevé).

CVE-2026-21002 : Déni de service dans Kestrel

Le serveur web Kestrel contient une vulnérabilité qui permet aux attaquants de provoquer des plantages d'application via des requêtes HTTP spécialement conçues. Cette vulnérabilité de déni de service peut être exploitée à distance sans authentification et a un score CVSS de 7.5 (Élevé).

CVE-2026-21003 : Divulgation d'informations

Les composants middleware d'ASP.NET Core peuvent involontairement exposer des informations de configuration sensibles via des réponses d'erreur. Cette vulnérabilité de divulgation d'informations a un score CVSS de 5.3 (Moyen) mais pourrait fournir aux attaquants des informations précieuses pour d'autres attaques.

Systèmes et versions affectés

KB5091596 s'applique aux systèmes et configurations suivants :

Détails techniques

Les correctifs de sécurité dans KB5091596 incluent des mises à jour complètes des composants principaux d'ASP.NET Core :

Mises à jour du cadre d'authentification

Le cadre ASP.NET Core Identity a été considérablement amélioré pour prévenir les attaques de contournement de l'authentification. Les améliorations clés incluent :

• Renforcement des algorithmes de vérification de signature des jetons JWT
• Validation améliorée des revendications d'authentification et du contexte utilisateur
• Amélioration de la gestion des cookies d'authentification et de la gestion des sessions
• Vérifications de sécurité supplémentaires pour l'expiration des jetons et la validation de l'émetteur

Améliorations du serveur web Kestrel

Le serveur web Kestrel a été mis à jour avec des capacités de gestion des requêtes robustes :

• Analyse améliorée des en-têtes HTTP avec validation améliorée
• Meilleure gestion de la mémoire pour le traitement des grandes requêtes
• Amélioration de la gestion des erreurs pour les requêtes malformées ou malveillantes
• Mise à jour de la mise en commun des connexions et de la gestion des ressources

Améliorations de la sécurité du middleware

Les composants middleware d'ASP.NET Core incluent désormais des mesures de sécurité supplémentaires :

• Réponses d'erreur assainies pour prévenir les fuites d'informations
• Gestion des exceptions améliorée avec des pratiques de journalisation sécurisées
• Filtrage des réponses amélioré pour la protection des données sensibles
• Mise à jour de la détection de l'environnement de développement et de la gestion des réponses

Installation et déploiement

KB5091596 peut être installé par divers moyens selon votre environnement :

Environnements de développement

Pour les machines de développement, utilisez le .NET CLI pour mettre à jour :

dotnet tool update --global dotnet
dotnet workload update

Environnements de production

Pour les déploiements en production, utilisez Windows Update ou des outils de déploiement d'entreprise. La mise à jour peut également être installée manuellement à l'aide du catalogue Microsoft Update.

Applications conteneurisées

Pour les applications exécutées dans des conteneurs, mettez à jour l'image de base du runtime ASP.NET Core :

FROM mcr.microsoft.com/dotnet/aspnet:10.0.4

Vérification post-installation

Après avoir installé KB5091596, vérifiez la mise à jour à l'aide de PowerShell :

Get-HotFix -Id KB5091596
dotnet --version

La version .NET devrait afficher 10.0.4 ou ultérieure. Pour les applications ASP.NET Core, vérifiez la version du runtime dans les journaux d'application ou en utilisant :

dotnet --list-runtimes | findstr "Microsoft.AspNetCore.App"

Recommandations de sécurité

Après avoir installé cette mise à jour, envisagez de mettre en œuvre des mesures de sécurité supplémentaires :

• Révisez et mettez à jour le middleware d'authentification personnalisé pour assurer la compatibilité
• Mettez en œuvre une journalisation et une surveillance complètes des événements d'authentification
• Auditez régulièrement les dépendances de l'application pour les vulnérabilités de sécurité
• Envisagez de mettre en œuvre des en-têtes de sécurité et des middleware supplémentaires
• Assurez-vous que tous les environnements de développement et de test sont également mis à jour