CVE-2025-36854

EOL ASP.NET içerisinde, uygulama kodu yanıt gövdesine yazarken bir HTTP/3 akışı kapatıldığında ortaya çıkan bir zafiyet (CVE-2024-38229 https://www.cve.org/CVERecord) mevcuttur; bir yarış durumu (race condition), uzaktan kod çalıştırma ile sonuçlanan serbest bırakıldıktan sonra kullanım (use-after-free) durumuna yol açabilir. CWE-416: Use After Free https://cwe.mitre.org/data/definitions/416.html uyarınca Serbest Bırakıldıktan Sonra Kullanım, bir ürünün bellek serbest bırakıldıktan sonra bu belleği yeniden kullanması veya referans vermesidir. Daha sonraki bir noktada bellek tekrar tahsis edilebilir ve başka bir işaretçide saklanabilirken, orijinal işaretçi yeni tahsisat içindeki bir konuma referans verebilir. Orijinal işaretçiyi kullanan tüm işlemler artık geçerli değildir çünkü bellek, yeni işaretçi üzerinde işlem yapan koda "aittir". Bu sorun, bu CVE'de belirtildiği üzere EOL ASP.NET 6.0.0 <= 6.0.36 sürümlerinin yanı sıra CVE-2024-38229 https://www.cve.org/CVERecord kapsamında belirtilen 8.0.0 <= 8.0.8 ve 9.0.0-preview.1.24081.5 <= 9.0.0.RC.1 sürümlerini etkilemektedir. Ek olarak, etkilenen sürümlerden herhangi birini hedefleyen self-contained uygulamalar https://docs.microsoft.com/dotnet/core/deploying/#self-contained-deployments-scd dağıttıysanız, bu uygulamalar da savunmasızdır ve yeniden derlenip yeniden dağıtılmalıdır. NOT: Bu CVE yalnızca Yaşam Döngüsü Sonu (EOL) yazılım bileşenlerini temsil etmektedir. Satıcı Microsoft, yapılan sorgular üzerine gelecekte herhangi bir güncelleme veya destek sağlanmayacağını belirtmiştir.