مايكروسوفت تسد واحدة من أخطر ثغراتها الأمنية على الإطلاق
إصلاح أمني عاجل من شركة مايكروسوفت لمنع هجمات HTTP Request Smuggling
قامت شركة مايكروسوفت الأمريكية بإصلاح أمني بالغ الأهمية، لمعالجة واحدة من أخطر الثغرات التقنية في تاريخ أنظمتها، والتي صفتها بأنها من بين الأعلى تصنيفاً من حيث درجة الخطورة على الإطلاق.
إصلاح أمني عاجل من شركة مايكروسوفت لمنع هجمات HTTP Request Smuggling
وبحسب ما ذكرته تقارير تقنية، فإن الثغرة تحمل الرمز CVE-2025-55315، وهي تتعلق بخطأ في طريقة تعامل خادم الويب Kestrel مع طلبات HTTP ضمن بيئة ASP.NET Core، وتحديداً فيما يعرف باسم HTTP Request Smuggling، وقد حصلت على تقييم خطورة 9.9 من أصل 10 وفق نظام التصنيف العالمي للثغرات الأمنية CVSS.
وهذه الثغرة تسمح للمهاجمين غير المصرح لهم بإرسال طلبات HTTP ثانوية داخل الطلب الأصلي، ما قد يؤدي إلى تجاوز أنظمة الحماية، والوصول إلى بيانات حساسة، مثل معلومات تسجيل الدخول أو ملفات النظام، بل وربما إسقاط الخادم بالكامل إذا تم استغلالها بنجاح.
ورغم أن الشركة لم ترصد أي هجمات فعلية حتى الآن، فإنها شددت على أهمية تطبيق التحديثات بشكل عاجل.
وقد أوصت مايكروسوفت المستخدمين والمطورين بعدة إجراءات لحماية أنظمتهم، أبرزها:
- بالنسبة لمستخدمي .NET 8 أو الإصدارات الأحدث، يجب تثبيت آخر تحديث عبر Microsoft Update فوراً.
- بالنسبة لمستخدمي .NET 2.3، فعليهم تحديث الحزمة Microsoft.AspNet.Server.Kestrel.Core إلى الإصدار 2.3.6 ثم إعادة ترجمة التطبيق ونشره مجدداً.
- إذا كان التطبيق يعمل بتقنية الملف الواحد Single File، فيتوجب إعادة تجميع التطبيق كاملاً لضمان إزالة الثغرة نهائياً.
ولفتت التقارير إلى أن الحزمة الأمنية شملت كذلك تحديثات لأنظمة Visual Studio 2022، إلى جانب إصدارات ASP.NET Core 2.3 و8.0 و9.0، في إطار خطة شاملة لحماية بيئات التطوير.
ونقلت تصريحات منسوبة إلى باري دورانز، مدير برنامج الأمان في .NET، الذي أوضح أن درجة الخطورة العالية لا تعني أن جميع التطبيقات مهددة بالمستوى نفسه، مشيراً إلى أن تأثير الثغرة يختلف حسب بنية التطبيق وآلية معالجته للطلبات.
ومع ذلك، فقد أكد أن الشركة احتسبت أسوأ سيناريو ممكن عند تقييمها للثغرة، لضمان أقصى درجات الحماية.
جدير بالذكر أن هذا التحرك يأتي في ظل تزايد الهجمات السيبرانية على البنى التحتية السحابية حول العالم، لتؤكد مايكروسوفت من خلال هذا التحديث التزامها المستمر بتقوية دفاعاتها الأمنية، وحماية المطورين من المخاطر الناشئة في بيئات العمل الرقمية الحديثة.