KJPro Technology 部落格

微軟在 2025年10月14日 發布了一項安全性更新，修復了 ASP.NET Core 中的漏洞 CVE-2025-55315，該漏洞允許 HTTP 請求走私。雖然請求走私是已知的攻擊手段，但此次安全更新針對的是CVSS評分較高的場景，旨在鼓勵用戶採取緩解措施。

9.9 分的評分反映了及時解決此問題的重要性。該問題涉及安全功能繞過，可能會影響應用程式強制執行身份驗證和授權的方式。

什麼是HTTP請求走私？

HTTP 請求走私 (HRS) 利用不同元件（例如代理程式和伺服器）解析 HTTP 請求方式的不一致之處。它通常涉及操縱 Content-Length 和 Transfer-Encoding 等標頭，將隱藏的請求注入到另一個請求中。

CVE-2025-55315 詳情

在 ASP.NET Core 中，此漏洞源自於 Kestrel Web 伺服器解析傳入請求的方式。在某些情況下，它無法正確驗證請求邊界，從而允許惡意請求到達應用程式程式碼。

https://blog.kjprotech.com/2025/10/aspnet-core.html

Picture Source

negox