Detalhes das atualizações de segurança emergenciais
A Microsoft anunciou o lançamento de atualizações de segurança emergenciais (Out-of-Band) voltadas para as versões .NET 8, .NET 9 e .NET 10, além da terceira versão candidata (RC3) do .NET 11. Esta medida visa corrigir vulnerabilidades de segurança descobertas recentemente que exigem intervenção imediata de desenvolvedores e administradores de sistemas para garantir a integridade dos ambientes de trabalho.
Vulnerabilidades de segurança corrigidas
As atualizações incluem correções para duas vulnerabilidades principais:
- CVE-2026-111497: Vulnerabilidade de estouro de buffer (Buffer Overflow) no algoritmo de compressão Brotli. Esta falha pode permitir que um invasor não autenticado leia ou corrompa a memória do processo, o que pode levar à exposição de informações confidenciais, negação de serviço ou elevação de privilégios. Esta vulnerabilidade afeta todas as plataformas.
- CVE-2026-114148: Vulnerabilidade relacionada a dados de propriedade inseguros em arquivos tarball do .NET em sistemas Linux, o que pode permitir que um invasor local modifique arquivos e obtenha privilégios elevados.
Além disso, a Microsoft relançou atualizações para corrigir vulnerabilidades anteriores (CVE-2026-70197 e CVE-2026-102870) após constatar que as atualizações lançadas em 13 de outubro de 2026 não resolveram os problemas completamente.
O que os desenvolvedores devem fazer?
Os procedimentos de atualização variam de acordo com o tipo de aplicação utilizada:
- Aplicações dependentes do framework (Framework-dependent): É necessário instalar o runtime atualizado da versão alvo e reiniciar a aplicação.
- Aplicações independentes (Self-contained): É necessário reconstruir a aplicação e reimplantá-la usando o runtime atualizado, uma vez que os componentes compilados não são atualizados automaticamente.
- Containers: As imagens devem ser reconstruídas e implantadas usando as imagens de container do .NET atualizadas.
- Usuários de tarball: Usuários do ASP.NET Core nas versões .NET 8 e 9 devem atualizar suas instalações usando os arquivos tarball atualizados.
Os usuários podem verificar as versões do runtime instaladas atualmente através do comando dotnet --list-runtimes para garantir que as atualizações foram aplicadas corretamente.