紧急安全更新详情
微软宣布发布针对 .NET 8、.NET 9、.NET 10 以及 .NET 11 第三版候选发布版 (RC3) 的紧急带外 (Out-of-Band) 安全更新。此举旨在解决近期发现的安全漏洞，要求开发人员和系统管理员立即采取行动，以确保工作环境的安全。
已修复的安全漏洞
此次更新包含对两个主要漏洞的修复：
- CVE-2026-111497：Brotli 压缩算法中的缓冲区溢出 (Buffer Overflow) 漏洞。该漏洞可能允许未经身份验证的攻击者读取或破坏进程内存，从而导致敏感信息泄露、拒绝服务或权限提升。该漏洞影响所有平台。
- CVE-2026-114148：与 Linux 系统上 .NET tarball 文件中不安全的所有权数据相关的漏洞，这可能允许本地攻击者修改文件并获得提升的权限。
此外，微软重新发布了针对先前漏洞 (CVE-2026-70197 和 CVE-2026-102870) 的更新，此前发现 2026 年 10 月 13 日发布的更新未能完全解决这些问题。
开发人员应采取哪些措施？
更新步骤取决于所使用的应用程序类型：
- 依赖框架的应用程序 (Framework-dependent)：必须安装目标版本的更新运行时 (Runtime) 并重启应用程序。
- 独立应用程序 (Self-contained)：需要使用更新后的运行时重新构建并重新部署应用程序，因为打包的组件不会自动更新。
- 容器 (Containers)：必须使用更新后的 .NET 容器镜像重新构建并部署镜像。
- tarball 用户：.NET 8 和 9 版本上的 ASP.NET Core 用户必须使用更新后的 tarball 文件更新其安装。
用户可以通过命令 dotnet --list-runtimes 检查当前安装的运行时版本，以确保正确应用了更新。