Den technischen Hintergrund erläutert Microsoft in den Versionshinweisen: In den NuGet-Paketen Microsoft.AspNetCore.DataProtection der Versionen 10.0.0 bis 10.0.6 sorgte eine Regression dafür, dass der verwaltete authentifizierte Verschlüsseler sein HMAC-Validierungs-Tag über die falschen Bytes der Nutzlast berechnete und den errechneten Hash in bestimmten Fällen anschließend verwarf.
In solchen Szenarien konnte ein Angreifer Nutzlasten fälschen, die die Echtheitsprüfungen von DataProtection bestehen. Zudem ließen sich zuvor geschützte Nutzlasten entschlüsseln – etwa in Authentifizierungs-Cookies und Antiforgery-Tokens.
Besonders heikel ist die Nachwirkung: Hat sich ein Angreifer während des verwundbaren Zeitraums mithilfe gefälschter Nutzlasten als privilegierter Nutzer authentifiziert, konnte er die Anwendung möglicherweise dazu bringen, ihm legitim signierte Tokens auszustellen – darunter Sitzungserneuerungen, API-Schlüssel oder Links zum Zurücksetzen von Passwörtern. Nach Microsofts Angaben bleiben diese Tokens auch nach dem Wechsel auf Version 10.0.7 gültig, sofern der DataProtection-Schlüsselbund nicht rotiert wird.
Die Schwachstelle erhielt einen CVSS-Wert von 9.1 und wird von Microsoft als „Important" eingestuft. Die Korrektur steht mit ASP.NET Core 10.0.7 bereit; gemeldet wurde die Lücke von einem anonymen Forscher.