Détails des mises à jour de sécurité d'urgence
Microsoft a annoncé le lancement de mises à jour de sécurité d'urgence (Out-of-Band) ciblant les versions .NET 8, .NET 9 et .NET 10, ainsi que la troisième version candidate (RC3) de .NET 11. Cette démarche intervient pour traiter des vulnérabilités de sécurité récemment découvertes qui nécessitent une intervention immédiate de la part des développeurs et des administrateurs système afin de garantir la sécurité des environnements de travail.
Vulnérabilités de sécurité corrigées
Les mises à jour incluent des correctifs pour deux failles principales :
- CVE-2026-111497 : Une vulnérabilité de dépassement de tampon (Buffer Overflow) au sein de l'algorithme de compression Brotli. Cette faille pourrait permettre à un attaquant non authentifié de lire ou de corrompre la mémoire du processus, ce qui risque de provoquer une divulgation d'informations sensibles, un déni de service ou une élévation de privilèges. Cette vulnérabilité affecte toutes les plates-formes.
- CVE-2026-114148 : Une vulnérabilité liée à des données de propriété non sécurisées dans les fichiers tarball de .NET sur les systèmes Linux, ce qui pourrait permettre à un attaquant local de modifier des fichiers et d'obtenir des privilèges élevés.
En outre, Microsoft a réédité des mises à jour pour traiter des failles antérieures (CVE-2026-70197 et CVE-2026-102870) après qu'il est apparu que les mises à jour publiées le 13 octobre 2026 n'avaient pas totalement résolu les problèmes.
Que doivent faire les développeurs ?
Les procédures de mise à jour varient selon le type d'application utilisé :
- Applications dépendantes du framework (Framework-dependent) : Il est nécessaire d'installer le runtime mis à jour pour la version cible et de redémarrer l'application.
- Applications autonomes (Self-contained) : Cela nécessite de reconstruire l'application et de la redeployer à l'aide du runtime mis à jour, car les composants groupés ne sont pas mis à jour automatiquement.
- Conteneurs (Containers) : Les images doivent être reconstruites et déployées en utilisant les images de conteneurs .NET mises à jour.
- Utilisateurs de tarball : Les utilisateurs d'ASP.NET Core sur les versions .NET 8 et 9 doivent mettre à jour leurs installations à l'aide des fichiers tarball mis à jour.
Les utilisateurs peuvent vérifier les versions du runtime actuellement installées via la commande dotnet --list-runtimes afin de s'assurer que les mises à jour ont été correctement appliquées.