Microsoft выпустила экстренные обновления .NET для устранения опасных уязвимостей

Обновления устраняют серьезные уязвимости в .NET 8–11, включая ошибку распаковки Brotli, которая затрагивает все платформы.

Microsoft выпустила внеплановые обновления безопасности для .NET 8, .NET 9 и .NET 10, а также .NET 11 Release Candidate 3. Компания рекомендует как можно скорее обновить установленные версии: исправления устраняют две серьезные уязвимости – CVE-2026-111497 и CVE-2026-114148.

• CVE-2026-111497 – уязвимость переполнения буфера в реализации распаковки Brotli, используемой в .NET.

Она позволяет злоумышленнику без аутентификации читать или повреждать память процесса, что может привести к раскрытию информации, отказу в обслуживании или повышению привилегий. Проблема затрагивает все платформы.

• CVE-2026-114148 – уязвимость, связанная с небезопасными метаданными о владельцах файлов в затронутых tar-архивах .NET.

Она может позволить локальному злоумышленнику изменять файлы и повышать привилегии. Эта проблема затрагивает только Linux.

Какие приложения и дистрибутивы затронуты

Под угрозой могут оказаться приложения, которые обрабатывают данные, сжатые Brotli, через механизм распаковки запросов ASP.NET Core, автоматическую распаковку ответов HttpClient или API Brotli в System.IO.Compression.

В .NET 10 и .NET 11 уязвимость CVE-2026-114148 затрагивает опубликованные в интернете tar-архивы для сборки из исходного кода. В .NET 8 и .NET 9 она также затрагивает дистрибутивы ASP.NET Core, распространяемые в tar-архивах, в том числе установки пользователей, которые не собирают .NET из исходников.

В этом выпуске также повторно опубликованы исправления двух уязвимостей, описанных в уведомлениях от 13 октября:

• CVE-2026-70197 – повреждение памяти в SocketAsyncEventArgs;
• CVE-2026-102870 – уязвимость отладчика Blazor WebAssembly.

Microsoft отмечает, что предыдущие обновления устранили эти проблемы не полностью.

Как установить исправления

Microsoft привела следующие рекомендации по обновлению приложений и сред сборки:

• Приложения, зависящие от установленной среды выполнения: установите обновленную среду выполнения для версии .NET, на которую рассчитано приложение, затем перезапустите его.
• Автономные приложения со встроенной средой выполнения: пересоберите и повторно опубликуйте приложение с обновленной средой выполнения. Установка более новой среды на хосте не обновляет ту, которая поставляется вместе с приложением.
• Контейнеры: пересоберите и повторно разверните их с использованием обновленных образов контейнеров .NET.
• Пользователи, собирающие .NET из исходников: получите обновленные материалы для сборки своей версии .NET и пересоберите пакеты, чтобы включить исправление метаданных о владельцах файлов в tar-архивах.
• Пользователи tar-архивов ASP.NET Core для .NET 8 и .NET 9: обновите установку с помощью нового tar-архива ASP.NET Core Runtime для своей версии .NET. Это необходимо сделать, даже если вы не собираете .NET из исходников.

Проверить установленные среды выполнения можно командой:

dotnet --list-runtimes

При возникновении проблем, сообщить о них можно в обсуждениях обратной связи по выпускам .NET.

Скачать Microsoft .NET