CVE-2025-55315

Détournement de Requêtes HTTP dans ASP.NET Core

Une faille de sécurité, identifiée comme CVE-2025-55315, impacte ASP.NET Core, plus précisément le serveur web Kestrel. Elle découle d’une interprétation incohérente des requêtes HTTP, permettant ainsi des attaques par “HTTP request smuggling”. Un attaquant non authentifié peut exploiter cette vulnérabilité pour dissimuler des requêtes HTTP malveillantes.

Points clés :

• La vulnérabilité affecte ASP.NET Core et son serveur web Kestrel.
• Elle est causée par une interprétation incohérente des requêtes HTTP.
• Elle permet des attaques par “HTTP request smuggling”.

Vulnérabilités et Exploitations Potentielles :

• CVE-2025-55315 : Permet à un attaquant non authentifié de dissimuler des requêtes HTTP.
• Les succès d’exploitation peuvent mener à :
  • Contournement des contrôles de sécurité.
  • Exposition d’informations sensibles (identifiants utilisateurs).
  • Modification de fichiers sur le serveur.
  • Blocage du serveur (crash).
  • Usurpation d’identité d’utilisateur.
  • Falsification de requêtes côté serveur (SSRF).
  • Contournement des protections contre le CSRF.
  • Attaques par injection.

Recommandations :

• Microsoft a publié des mises à jour de sécurité pour les différentes versions affectées d’ASP.NET Core. Il est crucial d’appliquer ces correctifs.

Source