Microsoft utgir ekstra sikkerhetsoppdatering for .NET

silver iMac, Apple Magic Keyboard, and Apple Magic Mouse — Amy Hirschi / Unsplash

Microsoft har publisert en ekstra sikkerhetsoppdatering for utviklingsplattformen .NET for å rette opp flere sårbarheter. Oppdateringen gjelder versjonene .NET 10.NET 9 og .NET 8, og ble gjort tilgjengelig 25. oktober 2026. Målet er å sikre at brukere er beskyttet mot angrep som utnytter feil i koden.

En av de nye sårbarhetene, identifisert som CVE-2026-111497, finnes i en komprimeringsbibliotek fra Google som håndterer Brotli-formatet. Feilen er en bufferoverflow som kan utnyttes ved å behandle manipuleret komprimert data. Angripere kan potensielt lese informasjon fra minnet, forårsake tjenestefeil eller oppnå forhøyet tilgang uten å være autentisert. Sårbarheten påvirker systemer som bruker Brotli API til å dekomprimere ekstern data, eller som har aktivert automatisk dekomprimering i ASP.NET Core eller HttpClient. Microsoft har vurdert alvorlighetsgraden som kritisk, med en CVSS v3.1 poengsum på 8,1. Det finnes også en midlertidig løsning som innebærer å ekskludere Brotli-funksjonaliteten.

En annen ny sårbarhet, CVE-2026-114148, gjelder Linux-distribusjoner av ASP.NET Core. Den skyldes feilaktig behandling av filbesittelser i distribusjonsfilene. Dette kan føre til at lokale brukere kan endre filer eller oppnå forhøyet tilgang. Alvorlighetsgraden er vurdert som viktig, med en CVSS v3.1 poengsum på 7,8.

Oppdateringen retter også opp to sårbarheter som ikke ble fullstendig fikset i den ordinære månedlige sikkerhetsoppdateringen fra 13. oktober 2026. Disse er CVE-2026-70197 og CVE-2026-102870, som begge tillater fjern kodeutførelse. Microsoft oppfordrer brukere til å installere oppdateringen så snart som mulig. For organisasjoner som distribuerer applikasjoner med innebygd kjøringsmiljø eller i containermiljøer, er det nødvendig å bygge om applikasjonene med den oppdaterte miljøet og distribuere dem på nytt for å sikre at rettelser er implementert.