긴급 보안 업데이트 세부 정보
마이크로소프트는 .NET 8, .NET 9, .NET 10 버전과 .NET 11의 세 번째 릴리스 후보(RC3)를 대상으로 하는 긴급 보안 업데이트(Out-of-Band)를 발표했습니다. 이번 조치는 최근 발견된 보안 취약점을 해결하기 위한 것으로, 개발자와 시스템 관리자는 작업 환경의 안전을 보장하기 위해 즉각적인 대응이 필요합니다.
해결된 보안 취약점
이번 업데이트에는 두 가지 주요 취약점에 대한 수정 사항이 포함되어 있습니다:
- CVE-2026-111497: Brotli 압축 알고리즘 내의 버퍼 오버플로우(Buffer Overflow) 취약점입니다. 이 취약점은 인증되지 않은 공격자가 프로세스 메모리를 읽거나 손상시킬 수 있게 하며, 이로 인해 민감한 정보 노출, 서비스 거부, 또는 권한 상승이 발생할 수 있습니다. 이 취약점은 모든 플랫폼에 영향을 미칩니다.
- CVE-2026-114148: 리눅스 시스템용 .NET tarball 파일의 안전하지 않은 소유권 데이터와 관련된 취약점으로, 로컬 공격자가 파일을 수정하고 권한을 상승시킬 수 있습니다.
또한, 마이크로소프트는 2026년 10월 13일에 발표된 업데이트가 문제를 완전히 해결하지 못한 것으로 확인됨에 따라, 이전 취약점(CVE-2026-70197 및 CVE-2026-102870)을 해결하기 위한 업데이트를 재발행했습니다.
개발자가 취해야 할 조치
업데이트 절차는 사용하는 애플리케이션 유형에 따라 다릅니다:
- 프레임워크 의존형 애플리케이션(Framework-dependent): 대상 버전에 맞는 업데이트된 런타임(Runtime)을 설치하고 애플리케이션을 재시작해야 합니다.
- 독립형 애플리케이션(Self-contained): 번들로 제공된 구성 요소는 자동으로 업데이트되지 않으므로, 업데이트된 런타임을 사용하여 애플리케이션을 다시 빌드하고 배포해야 합니다.
- 컨테이너(Containers): 업데이트된 .NET 컨테이너 이미지를 사용하여 이미지를 다시 빌드하고 배포해야 합니다.
- tarball 사용자: .NET 8 및 9 버전의 ASP.NET Core 사용자는 업데이트된 tarball 파일을 사용하여 설치를 업데이트해야 합니다.
사용자는 현재 설치된 런타임 버전을 확인하기 위해 dotnet --list-runtimes 명령어를 사용하여 업데이트가 올바르게 적용되었는지 확인할 수 있습니다.