Уязвимость переполнения буфера в алгоритме сжатия Brotli и проблема с правами на файлы в установочных архивах для Linux затрагивают .NET 8, .NET 9, .NET 10 и .NET 11 Release Candidate 3. Первая позволяет без аутентификации прочитать или повредить память процесса, вторая даёт локальному пользователю возможность изменить файлы и повысить привилегии. Microsoft закрывает обе внеочередными обновлениями, то есть выпущенными вне обычного графика, и рекомендует установить их как можно скорее. Те же выпуски завершают исправление ошибок, которые обновление от 13 октября 2026 года закрыло не полностью.
Распаковка Brotli, архивы Linux и повторные исправления
Brotli - алгоритм сжатия, который уменьшает объём данных при передаче, и .NET применяет его при распаковке. Уязвимость кроется именно в распаковке: из-за переполнения буфера приложение выходит за границы выделенного участка памяти. Атакующему не нужны учётные данные, он читает или портит память процесса. Дальше исход зависит от приложения: раскрытие информации, отказ в обслуживании либо повышение привилегий.
Риск возникает там, где приложение принимает сжатые данные Brotli. Речь о распаковке входящих запросов в ASP.NET Core, об автоматической распаковке ответов в HttpClient и о прямых вызовах интерфейсов Brotli из библиотеки сжатия .NET. При этом два первых механизма по умолчанию выключены, поэтому типовая установка под угрозу не попадает. Платформа .NET Framework уязвимости не подвержена, Microsoft проверила это отдельно.
Оценку CVSS Microsoft не приводит и уровень серьёзности не указывает. Аутентификация для атаки не требуется, а нужен ли сетевой доступ или достаточно локального запуска, вендор не уточняет. Условия и перечень затронутых продуктов перечислены в уведомлении безопасности по CVE-2026-111497.
Повышение привилегий через метаданные архива
Вторая уязвимость, CVE-2026-114148, связана с метаданными о владельце файлов в архивах tarball для Linux, то есть в архивах с исходниками или готовой сборкой .NET. Из-за некорректных метаданных локальный пользователь меняет файлы установки и получает повышенные привилегии. В .NET 10 и .NET 11 проблема затрагивает только архивы исходников. В .NET 8 и .NET 9 под неё попадают и дистрибутивы ASP.NET Core, включая установки без сборки .NET из исходников. Для атаки нужен локальный доступ к системе.
Что исправляют повторно
Повторно Microsoft выпустила уведомления по ошибкам, которые обновление от 13 октября 2026 года закрыло не полностью. Первая связана с порчей памяти при работе с SocketAsyncEventArgs, компонентом для асинхронных сетевых операций, и затрагивает .NET 8, .NET 9, .NET 10 и .NET 11. Вторая касается отладчика Blazor WebAssembly и затрагивает .NET 10 и .NET 11. Новые выпуски содержат исправления для обеих.
Версии и порядок обновления
Исправленные выпуски - .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 и .NET 11 Release Candidate 3. Кто работает на .NET 11 RC2, переходит на RC3: в RC2 этих исправлений нет. Загрузить обновления можно со страниц .NET SDK и Runtime. Обходных мер Microsoft не приводит, уведомление описывает только установку новых выпусков.
Порядок действий зависит от типа развёртывания. Приложения на общей среде выполнения требуют установки новой среды и перезапуска. Самодостаточные приложения несут собственную копию среды, поэтому их пересобирают и публикуют заново: установка среды на хосте встроенную копию не заменяет. Контейнеры пересобирают и разворачивают на обновлённых образах .NET.
Кто собирает .NET из исходников, забирает обновлённые артефакты сборки и пересобирает пакеты. Отдельное требование касается пользователей архивов ASP.NET Core на .NET 8 и .NET 9: им нужен обновлённый архив среды выполнения ASP.NET Core, даже если .NET из исходников они не собирают.
Проверить установленные среды помогает команда dotnet --list-runtimes. Самодостаточные приложения и контейнеры такой проверкой не покрыть: у каждого своя копия среды, её проверяют отдельно.
Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении нет. Новые уязвимости требуют либо обработки внешних данных Brotli, либо локального доступа, поэтому срочность зависит от конфигурации приложения. Повторный выпуск исправлений означает, что октябрьские обновления закрывали ошибки не полностью, и проверять установленные версии нужно заново.
Ссылки
