CVE-2025-55315

Exploitation de failles dans Kestrel (ASP.NET Core)

Une vulnérabilité, identifiée sous la référence CVE-2025-55315, affecte le serveur web Kestrel d’ASP.NET Core. Elle résulte d’une interprétation incohérente des requêtes HTTP, permettant des attaques de type “HTTP request smuggling”. Un attaquant non authentifié peut ainsi contourner les mesures de sécurité.

Points Clés et Vulnérabilités :

• Vecteur d’attaque : HTTP request smuggling.
• Système affecté : ASP.NET Core, spécifiquement le serveur web Kestrel.
• CVE : CVE-2025-55315
• Impact potentiel :
  • Contournement des contrôles de sécurité.
  • Exposition d’informations sensibles (identifiants utilisateurs).
  • Modification de fichiers sur le serveur.
  • Blocage du serveur (crash).
  • Usurpation d’identité d’utilisateur.
  • Usurpation de requête côté serveur (SSRF).
  • Contournement des protections CSRF.
  • Attaques par injection.

Recommandations :

Microsoft a publié des mises à jour de sécurité pour corriger cette vulnérabilité dans les différentes versions d’ASP.NET Core. Il est conseillé d’appliquer ces correctifs rapidement.

Source