10月18日，最新技术资料披露，微软近日修复了一个编号为CVE-2025-55315的安全漏洞。行业专家指出，该漏洞被称为ASP.NET Core框架问世以来最具威胁性的安全隐患之一。此漏洞属于HTTP请求走私类型，存在于ASP.NET Core采用的Kestrel Web服务器组件内部。攻击者在通过合法身份验证后，可利用此漏洞发送经过特殊构造的HTTP请求，实现请求走私，进而可能劫持其他用户的会话凭证，或突破前端部署的安全防护机制。
所谓"请求走私"，是指攻击者通过精心设计的HTTP请求，制造请求边界解析歧义，诱使服务器或代理服务器错误处理请求流。这使得恶意请求被误判为合法通信的一部分，从而绕过访问控制机制，或对其他用户实施攻击。
根据微软发布的安全公告，成功利用该漏洞的攻击者可能获取其他用户的敏感信息，导致机密性受损；也可能篡改服务器上的文件内容，破坏数据完整性；在极端情况下，还可能引发服务中断，影响系统可用性。
相关技术负责人强调，该漏洞的实际危害程度与具体应用程序的实现逻辑密切相关。若目标应用本身存在校验缺失或权限检查绕过等编码缺陷，则可能被组合利用，造成更严重的后果。尽管此类极端情形发生概率较低，但出于安全考量，微软仍按照最高风险级别进行评估。
除了凭据窃取外，该漏洞还可能被用于实现权限提升，使攻击者以他人身份执行操作；或触发服务器端请求伪造（SSRF）、绕过跨站请求伪造（CSRF）防护机制，甚至引发进一步的注入类攻击。
为防范潜在风险，建议所有使用ASP.NET Core的开发者和系统维护人员立即采取应对措施：若运行的是.NET 8或更新版本，应安装最新的安全更新并重启相关应用或设备；对于仍在使用的.NET 2.3环境，需将Microsoft.AspNet.Server.Kestrel.Core组件升级至2.3.6版本，并重新编译部署应用；若使用自包含或单文件发布模式的应用程序，同样需要在更新.NET运行时后重新编译并部署，以确保修补生效。
