Detalles de las actualizaciones de seguridad de emergencia
Microsoft ha anunciado el lanzamiento de actualizaciones de seguridad de emergencia (Out-of-Band) dirigidas a las versiones .NET 8, .NET 9 y .NET 10, además de la tercera versión candidato a lanzamiento (RC3) de .NET 11. Este paso se da para abordar vulnerabilidades de seguridad descubiertas recientemente que requieren la intervención inmediata de desarrolladores y administradores de sistemas para garantizar la seguridad de los entornos de trabajo.
Vulnerabilidades de seguridad abordadas
Las actualizaciones incluyen correcciones para dos vulnerabilidades principales:
- CVE-2026-111497: Una vulnerabilidad de desbordamiento del búfer (Buffer Overflow) dentro del algoritmo de compresión Brotli. Esta vulnerabilidad podría permitir a un atacante no autenticado leer o corromper la memoria del proceso, lo que podría conducir a la divulgación de información confidencial, denegación de servicio o escalada de privilegios. Esta vulnerabilidad afecta a todas las plataformas.
- CVE-2026-114148: Una vulnerabilidad relacionada con datos de propiedad inseguros en archivos tarball de .NET en sistemas Linux, lo que podría permitir a un atacante local modificar archivos y obtener privilegios elevados.
Además, Microsoft ha reemitido actualizaciones para abordar vulnerabilidades anteriores (CVE-2026-70197 y CVE-2026-102870) después de determinarse que las actualizaciones lanzadas el 13 de octubre de 2026 no resolvieron los problemas por completo.
¿Qué deben hacer los desarrolladores?
Los procedimientos de actualización varían según el tipo de aplicación utilizada:
- Aplicaciones dependientes del marco (Framework-dependent): Se debe instalar el tiempo de ejecución (Runtime) actualizado para la versión de destino y reiniciar la aplicación.
- Aplicaciones independientes (Self-contained): Requiere reconstruir la aplicación y volver a implementarla utilizando el tiempo de ejecución actualizado, ya que los componentes empaquetados no se actualizan automáticamente.
- Contenedores (Containers): Las imágenes deben reconstruirse e implementarse utilizando las imágenes de contenedor de .NET actualizadas.
- Usuarios de tarball: Los usuarios de ASP.NET Core en las versiones .NET 8 y 9 deben actualizar sus instalaciones utilizando los archivos tarball actualizados.
Los usuarios pueden verificar las versiones del tiempo de ejecución actualmente instaladas mediante el comando dotnet --list-runtimes para garantizar que las actualizaciones se hayan aplicado correctamente.