미국 - 이크바리 뉴스 통신사
마이크로소프트는 최근 자사의 ASP.NET Core 웹 개발 프레임워크에서 발견된 중대한 보안 취약점(CVE-2026-40372)을 해결하기 위한 긴급 보안 업데이트를 발표했습니다. 이 취약점은 인증되지 않은 공격자가 Linux 또는 macOS 환경에서 실행되는 애플리케이션이 설치된 시스템에 대해 최고 관리자 권한(SYSTEM privileges)을 획득할 수 있도록 허용합니다. 해당 문제는 Microsoft.AspNetCore.DataProtection NuGet 패키지의 10.0.0부터 10.0.6 버전까지 영향을 미치며, 암호화 서명 검증 과정의 결함으로 인해 발생했습니다.
공격자는 이 취약점을 악용하여 인증 과정에서 사용되는 HMAC 검증을 우회하고, 데이터를 위조하여 시스템에 대한 무단 접근을 시도할 수 있습니다. 마이크로소프트는 사용자들이 가능한 한 빨리 Microsoft.AspNetCore.DataProtection 패키지를 10.0.7 버전으로 업데이트할 것을 강력히 권고했습니다. 또한, 취약한 버전이 사용되었던 기간 동안 생성된 인증 정보가 남아있을 경우, 데이터 보호 키 링을 순환시키는 추가적인 보안 조치를 취해야 시스템의 완전한 보안을 확보할 수 있다고 강조했습니다. 이 문제는 주로 비-Windows 운영체제에서 ASP.NET Core 애플리케이션을 사용하는 사용자들에게 해당됩니다.
