Details zu den Notfall-Sicherheitsupdates
Microsoft hat die Veröffentlichung von Notfall-Sicherheitsupdates (Out-of-Band) für .NET 8, .NET 9, .NET 10 sowie den dritten Release Candidate (RC3) von .NET 11 angekündigt. Dieser Schritt erfolgt, um kürzlich entdeckte Sicherheitslücken zu schließen, die ein sofortiges Handeln von Entwicklern und Systemadministratoren erfordern, um die Sicherheit der Arbeitsumgebungen zu gewährleisten.
Behobene Sicherheitslücken
Die Updates enthalten Korrekturen für zwei Hauptschwachstellen:
- CVE-2026-111497: Eine Pufferüberlauf-Schwachstelle (Buffer Overflow) im Brotli-Komprimierungsalgorithmus. Diese Schwachstelle könnte es einem nicht authentifizierten Angreifer ermöglichen, den Prozessspeicher zu lesen oder zu beschädigen, was zu einer Offenlegung sensibler Informationen, einem Denial-of-Service oder einer Rechteausweitung führen kann. Diese Schwachstelle betrifft alle Plattformen.
- CVE-2026-114148: Eine Schwachstelle bezüglich unsicherer Eigentümerdaten in .NET-Tarball-Dateien auf Linux-Systemen, die es einem lokalen Angreifer ermöglichen könnte, Dateien zu manipulieren und erhöhte Berechtigungen zu erlangen.
Darüber hinaus hat Microsoft Updates zur Behebung früherer Schwachstellen (CVE-2026-70197 und CVE-2026-102870) erneut veröffentlicht, nachdem sich herausstellte, dass die am 13. Oktober 2026 bereitgestellten Updates die Probleme nicht vollständig behoben hatten.
Was müssen Entwickler tun?
Die Aktualisierungsmaßnahmen variieren je nach Art der verwendeten Anwendung:
- Framework-abhängige Anwendungen: Die aktualisierte Laufzeitumgebung (Runtime) für die Zielversion muss installiert und die Anwendung neu gestartet werden.
- Eigenständige Anwendungen (Self-contained): Hier ist ein Neuaufbau und eine erneute Bereitstellung der Anwendung mit der aktualisierten Laufzeitumgebung erforderlich, da gebündelte Komponenten nicht automatisch aktualisiert werden.
- Container: Images müssen neu erstellt und unter Verwendung der aktualisierten .NET-Container-Images bereitgestellt werden.
- Tarball-Nutzer: Benutzer von ASP.NET Core unter .NET 8 und 9 müssen ihre Installationen mit den aktualisierten Tarball-Dateien aktualisieren.
Benutzer können die aktuell installierten Laufzeitversionen über den Befehl dotnet --list-runtimes überprüfen, um sicherzustellen, dass die Updates korrekt angewendet wurden.