Microsoft .NET 0 Günlük Güvenlik Açığı, Hizmet Reddi Saldırılarını Etkinleştirir

CVE -2026 -26127 olarak izlenen yeni açıklanan bir .NET Framework güvenlik açığını gidermek için bir acil durum güvenlik güncellemesi yayınlandı. Bu güvenlik açığı, kimliği doğrulanmamış, uzak saldırganların ağda bir Hizmet Reddi (DoS) durumunu tetiklemesini sağlar. CVSS puanı 7,5 olan Microsoft, güvenlik açığını “Önemli." Windows, macOS ve Linux'ta .NET'in birden fazla sürümünü etkileyerek yöneticilerin resmi yamaları acilen uygulamalarını sağlar. Bu güvenlik açığının özü, CWE -125 altında kategorize edilen sınır dışı bir okuma zayıflığında yatmaktadır. Yazılım geliştirmede, bir program, sondan veya başlangıçtan önce, amaçlanan arabellek sınırlarının ötesindeki verileri okuduğunda, sınır dışı bir okuma meydana gelir. .NET çerçevesi bağlamında, bu bellek yanlış kullanımı, uygulamanın çökmesine neden olabilir ve meşru kullanıcılara verilen hizmeti etkin bir şekilde reddedebilir. Daha da önemlisi, hedef kullanıcıdan herhangi bir yükseltilmiş ayrıcalık veya etkileşim gerektirmeden bir ağ üzerinden uzaktan yürütülebilmesidir. Bir saldırgan, savunmasız bir .NET uygulamasına özel olarak hazırlanmış bir ağ isteğini başarıyla gönderirse, sınır dışı bir okumayı tetikleyerek sistemin çökmesine neden olabilir. Kusurun ciddiyetine rağmen, Microsoft'un sömürülebilirlik değerlendirmesi şu anda sömürüyü "Olasılıksız" olarak listeliyor. "Microsoft tarafından sağlanan güvenlik açığı metriklerine göre, istismar düşük düzeyde bir saldırı karmaşıklığı gerektiriyor. Ancak, yöneticiler temkinli olmalıdır. İsimsiz bir araştırmacı, güvenlik açığının ayrıntılarını kamuoyuna açıkladı. Vahşi doğada aktif sömürüye veya yeraltı forumlarında dolaşan olgun istismar koduna dair mevcut bir kanıt yoktur. Güvenlik açığı ayrıntılarının kamuya açık olması, tehdit aktörlerinin çalışan bir istismarı tersine çevirme girişiminde bulunma riskini artırır. Etkilenen Yazılım ve Sistemler

Hizmet Reddi güvenlik açığı her iki çekirdeği de etkiler.