微软紧急发布.NET补丁,修复包括Brotli缓冲区溢出在内的四个漏洞

由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English

首次报道 10月26日 07:18 UTC来源：GBHackers最近编辑更新 10月26日 07:18 UTC发表评论 ↓

A vibrant red love padlock with heart engravings on a bridge railing symbolizing eternal love. — 示意图片。图片：Pixabay / PexelsMicrosoft 标志仅用于识别，不代表与 WORLDTECH 有任何关联或背书。

微软发布了计划外的.NET安全更新,修复四个漏洞,其中包括Brotli解压缩中的缓冲区溢出,以及此前10月发布的更新中遗留的缺陷。微软敦促客户立即安装。

Brotli缓冲区溢出

四个漏洞中最严重的是CVE-2026-111497,它涉及.NET在所有平台上对Brotli解压缩的处理。报告称,该缓冲区溢出可能让未经身份验证的攻击者读取或篡改进程内存,可能导致的后果包括信息泄露、拒绝服务和权限提升。

受影响程度取决于应用如何使用该功能。通过ASP.NET Core请求解压缩、HttpClient中的自动响应解压缩,或System.IO.Compression中的Brotli API处理Brotli压缩数据的应用存在风险。请求解压缩和自动响应解压缩默认处于关闭状态,这在一定程度上限制了受影响应用的数量。

Linux安装包与本地权限风险

第二个漏洞CVE-2026-114148位于.NET Linux tarball所携带的不安全所有权元数据中。本地攻击者可能利用受影响的安装修改文件并获取更高权限。

影响因版本而异。在.NET 10和.NET 11上,问题仅限于源码构建的tarball。在.NET 8和.NET 9上,问题还扩展到通过ASP.NET Core tarball安装的ASP.NET Core发行版,这对不从源码编译.NET的部署环境而言尤为重要。

此前10月的修复不完整

微软还重新发布了两份安全公告,因为其在2026年10月13日发布的更新未能彻底消除相关底层漏洞。CVE-2026-70197涉及SocketAsyncEventArgs中的内存损坏,影响.NET 8、.NET 9、.NET 10和.NET 11。CVE-2026-102870涉及Blazor WebAssembly调试器,影响.NET 10和.NET 11。报告称,最新版本现已包含对这两个漏洞的修复。