Acil Güvenlik Güncellemelerinin Detayları
Microsoft, .NET 8, .NET 9 ve .NET 10 sürümlerinin yanı sıra .NET 11'in üçüncü sürüm adayı (RC3) için acil (Bant Dışı - Out-of-Band) güvenlik güncellemeleri yayınladığını duyurdu. Bu adım, yakın zamanda keşfedilen ve çalışma ortamlarının güvenliğini sağlamak için geliştiriciler ile sistem yöneticilerinin acil müdahalesini gerektiren güvenlik açıklarını gidermek amacıyla atıldı.
Giderilen Güvenlik Açıkları
Güncellemeler iki ana açığa yönelik düzeltmeleri içermektedir:
- CVE-2026-111497: Brotli sıkıştırma algoritmasındaki bir arabellek taşması (Buffer Overflow) açığı. Bu açık, kimliği doğrulanmamış bir saldırganın işlem belleğini okumasına veya bozmasına izin verebilir; bu da hassas bilgilerin açığa çıkmasına, hizmet reddine (DoS) veya ayrıcalık yükseltilmesine yol açabilir. Bu açık tüm platformları etkilemektedir.
- CVE-2026-114148: Linux sistemlerindeki .NET tarball dosyalarında güvensiz sahiplik verileriyle ilgili bir açık. Bu durum, yerel bir saldırganın dosyaları değiştirmesine ve yüksek ayrıcalıklar elde etmesine olanak tanıyabilir.
Buna ek olarak Microsoft, 13 Ekim 2026 tarihinde yayınlanan güncellemelerin sorunları tam olarak gidermediğinin anlaşılması üzerine, önceki açıkları (CVE-2026-70197 ve CVE-2026-102870) ele alan güncellemeleri yeniden yayınladı.
Geliştiriciler Ne Yapmalı?
Güncelleme prosedürleri, kullanılan uygulama türüne göre değişiklik göstermektedir:
- Çerçeveye bağımlı (Framework-dependent) uygulamalar: Hedef sürüm için güncellenmiş çalışma zamanı (Runtime) yüklenmeli ve uygulama yeniden başlatılmalıdır.
- Bağımsız (Self-contained) uygulamalar: Derlenmiş bileşenler otomatik olarak güncellenmediğinden, uygulamanın güncellenmiş çalışma zamanı kullanılarak yeniden derlenmesi ve yeniden dağıtılması gerekir.
- Kapsayıcılar (Containers): Görüntüler yeniden oluşturulmalı ve güncellenmiş .NET kapsayıcı görüntüleri kullanılarak dağıtılmalıdır.
- Tarball kullanıcıları: .NET 8 ve 9 sürümlerindeki ASP.NET Core kullanıcıları, kurulumlarını güncellenmiş tarball dosyalarını kullanarak güncellemelidir.
Kullanıcılar, güncellemelerin doğru bir şekilde uygulandığından emin olmak için dotnet --list-runtimes komutu aracılığıyla halihazırda yüklü olan çalışma zamanı sürümlerini kontrol edebilirler.