Microsoft Aspire Dashboard'da kritik açık (CVE-2026-118740): kimlik doğrulamasız rota telemetriyi sildirebiliyor, browser token'ı açığa çıkarabiliyor
Microsoft, Aspire Dashboard'daki CVE-2026-118740 (CVSS 9.1) için güvenlik bildirimi yayımladı. Kimlik doğrulaması istemeyen bir rota telemetri verisinin silinmesine, bağımsız kurulumlarda browser token'ın açığa çıkmasına yol açabiliyor. Düzeltme 13.6.5 sürümünde; 13.6.3 ve 13.6.4 düzeltilmiş sürüm değil.
CVE-2026-118740
Microsoft, dağıtık uygulamaların log, trace ve metriklerini izlemek için kullanılan Aspire Dashboard'da kritik bir açık için güvenlik bildirimi yayımladı. CVE-2026-118740 kimliğiyle izlenen açık "security feature bypass" olarak sınıflandırılıyor; CVSS 3.1 puanı 9.1, zafiyet sınıfı eksik yetkilendirme (CWE-862). Bildirim 10 Kasım tarihli; GitHub Advisory veritabanına 12 Kasım'da kritik olarak işlendi.
Microsoft'un bildirimine göre Dashboard'daki bir rota kimlik doğrulaması istemiyor. Bu durum hem bağımsız (standalone) kurulumlarda hem de AppHost tarafından başlatılan kurulumlarda telemetri verisinin silinmesine izin verebiliyor. Browser token ile kimlik doğrulaması kullanan bağımsız kurulumlarda ayrıca bu token açığa çıkabiliyor; yani Dashboard'a giriş anahtarı yetkisiz birinin eline geçebiliyor. Bildirimde sahada istismar bilgisi yer almıyor; açık, bu haberin yazıldığı sırada CISA KEV kataloğunda değil.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Aspire Dashboard (bağımsız kurulum, container imajı dahil) | 13.6.5 öncesi tüm sürümler | 13.6.5 |
| Aspire.Dashboard.Sdk NuGet paketleri (linux-x64, linux-arm64, linux-musl-x64, osx-x64, osx-arm64, win-x64, win-arm64) | 13.6.5 öncesi | 13.6.5 |
Microsoft özellikle uyarıyor: 13.6.3 ve 13.6.4 de açığı içeriyor, bu sürümler yükseltme hedefi değil. Aspire, .NET'ten bağımsız yayımlanıyor; .NET runtime ya da SDK güncellemesi kurmak Dashboard'u değiştirmiyor. Kasım Patch Tuesday güncellemelerini kurmuş olmak bu açığı kapatmıyor.
Beni etkiliyor mu?
Aspire Dashboard'u bağımsız bir container olarak (ör. OpenTelemetry verisi toplamak için) ya da bir Aspire AppHost üzerinden çalıştırıyorsanız ve sürüm 13.6.5'in altındaysa etkileniyorsunuz. Risk, Dashboard'un ağdan ya da internetten erişilebilir olduğu ortamlarda en yüksek.
AppHost projesinde hangi Aspire sürümünün referans verildiğini görmek için proje ve merkezi paket dosyalarına bakın:
grep -rn "Aspire" --include="*.csproj" --include="Directory.Packages.props" .Aspire.AppHost.Sdk ya da Aspire.Hosting.AppHost satırlarındaki sürüm 13.6.5'in altındaysa proje etkileniyor. Çözümlenen Aspire.Dashboard.Sdk.* paket sürümleri, IDE'nin NuGet bağımlılık görünümünden (Dependencies › Packages) de doğrulanabilir.
Dağıtım dosyalarında (Docker Compose, Kubernetes manifest) hangi Dashboard imajının kullanıldığını bulmak için:
grep -rn "aspire/dashboard" .Eski sürüm etiketi ya da nightly imaj referansı görüyorsanız o dağıtım güncellenmeli. AppHost, CLI ile gelen bir Dashboard'u ya da özel bir Dashboard yolunu kullanıyorsa o konumdaki Dashboard'un sürümüne ayrıca bakılmalı.
Ne yapılmalı?
- Aspire Dashboard'u 13.6.5 ya da sonrasına yükseltin. 13.6.3 ve 13.6.4'e yükseltmek açığı kapatmaz.
- Container kurulumlarında imaj referansını Microsoft'un bildirimde verdiği düzeltilmiş kararlı imaja (13.6.5 etiketi) sabitleyin ve container'ı yeniden oluşturun. Yalnızca AppHost paket referansını güncellemek, mevcut bir dağıtım manifest'indeki imaj referansını değiştirmez; üretilmiş Compose ve Kubernetes dosyalarını da gözden geçirin.
- AppHost projelerinde açıkça yazılmış
Aspire.Hosting.AppHostsürümünü (merkezi paket sürümü dahil) ya daAspire.AppHost.Sdkreferansını 13.6.5 veya sonrasına çekin; restore ve build sonrasında çözümlenen Dashboard SDK paketlerinin 13.6.5 olduğunu doğrulayıp AppHost'u yeniden başlatın. - Yükseltme tamamlanana kadar Dashboard'u internete ve geniş iç ağa açık bırakmayın; erişimi yalnızca geliştirici ve operasyon ağlarıyla sınırlayın. Bu, üreticinin önerdiği bir workaround değil, genel bir maruziyet azaltma önlemidir; bildirimde workaround verilmiyor.
- Browser token kullanan bağımsız kurulumlarda, yükseltmenin ardından token'ı yenileyin; eski token'ın açığa çıkmış olabileceğini varsayın.
- Telemetri verisinde açıklanamayan boşluk ya da silinme olup olmadığına bakın; Dashboard önündeki reverse proxy ya da ingress loglarında tanımadığınız kaynaklardan gelen kimliksiz istekleri inceleyin.
