Подробности экстренных обновлений безопасности
Компания Microsoft объявила о выпуске экстренных (внеплановых) обновлений безопасности для версий .NET 8, .NET 9 и .NET 10, а также для третьего кандидата в релиз (RC3) .NET 11. Этот шаг предпринят для устранения недавно обнаруженных уязвимостей, требующих немедленного вмешательства со стороны разработчиков и системных администраторов для обеспечения безопасности рабочих сред.
Устраненные уязвимости
Обновления включают исправления для двух основных уязвимостей:
- CVE-2026-111497: Уязвимость переполнения буфера в алгоритме сжатия Brotli. Эта уязвимость может позволить неавторизованному злоумышленнику прочитать или повредить память процесса, что может привести к раскрытию конфиденциальной информации, отказу в обслуживании или повышению привилегий. Уязвимость затрагивает все платформы.
- CVE-2026-114148: Уязвимость, связанная с небезопасными данными о владельце в tarball-файлах .NET в системах Linux, что может позволить локальному злоумышленнику изменять файлы и получать повышенные привилегии.
Кроме того, Microsoft повторно выпустила обновления для устранения предыдущих уязвимостей (CVE-2026-70197 и CVE-2026-102870) после того, как выяснилось, что обновления, выпущенные 13 октября 2026 года, не решили проблемы полностью.
Что должны сделать разработчики?
Процедуры обновления различаются в зависимости от типа используемого приложения:
- Приложения, зависящие от фреймворка (Framework-dependent): необходимо установить обновленную среду выполнения (Runtime) для целевой версии и перезапустить приложение.
- Автономные приложения (Self-contained): требуется пересборка приложения и повторное развертывание с использованием обновленной среды выполнения, так как скомпилированные компоненты не обновляются автоматически.
- Контейнеры (Containers): необходимо пересобрать образы и развернуть их с использованием обновленных образов контейнеров .NET.
- Пользователи tarball: пользователям ASP.NET Core на версиях .NET 8 и 9 необходимо обновить свои установки с использованием обновленных tarball-файлов.
Пользователи могут проверить текущие установленные версии среды выполнения с помощью команды dotnet --list-runtimes, чтобы убедиться в правильном применении обновлений.