Microsoft ออกแพตช์ฉุกเฉินแก้ไขช่องโหว่ใน .NET รวมถึงปัญหา Brotli

rectangular brown wooden table with chair lot inside building — Benjamin Child / Unsplash

Microsoft ได้เผยแพร่การอัปเดตความปลอดภัยนอกรอบเพื่อจัดการกับช่องโหว่หลายรายการในสภาพแวดล้อมการพัฒนาแอปพลิเคชัน .NET โดยการอัปเดตนี้ครอบคลุมถึงการแก้ไขช่องโหว่ที่ยังไม่ได้รับการจัดการอย่างสมบูรณ์จากการอัปเดตความปลอดภัยประจำเดือนตุลาคม

บริษัทได้ปล่อยการอัปเดตความปลอดภัยสำหรับ .NET 10.NET 9 และ .NET 8 เมื่อวันที่ 25 ตุลาคม 2026 ตามเวลาท้องถิ่น เพื่อแก้ไขช่องโหว่ใหม่ 2 รายการ และแก้ไขช่องโหว่อีก 2 รายการที่ยังไม่ได้รับการแก้ไขอย่างสมบูรณ์จากการอัปเดตเมื่อวันที่ 13 ตุลาคม

ช่องโหว่ CVE-2026-111497 เป็นปัญหาบัฟเฟอร์โอเวอร์โฟลว์ในไลบรารีของ Google ที่ใช้ประมวลผลการคลายบีบอัดข้อมูลรูปแบบ Brotli ซึ่งอาจทำให้ผู้ไม่หวังดีอ่านข้อมูลในหน่วยความจำโดยไม่ต้องผ่านการพิสูจน์ตัวตน หรือทำให้เกิดการปฏิเสธการให้บริการ และการยกระดับสิทธิ์ได้ผ่านการประมวลผลข้อมูลบีบอัดที่ถูกสร้างขึ้นเป็นพิเศษ ช่องโหว่นี้ส่งผลกระทบเมื่อมีการใช้ Brotli API เพื่อคลายบีบอัดข้อมูลจากภายนอก หรือเมื่อเปิดใช้งานฟังก์ชันคลายบีบอัดคำขอของ ASP.NET Core และฟังก์ชันคลายบีบอัดการตอบสนองอัตโนมัติของ HttpClient ซึ่งปกติจะถูกปิดไว้ โดยมีคะแนนพื้นฐาน CVSSv3.1 อยู่ที่ 8.1 และถูกจัดระดับความรุนแรงในระดับ วิกฤต

สำหรับช่องโหว่ CVE-2026-114148 เป็นช่องโหว่การยกระดับสิทธิ์ที่พบในไฟล์แจกจ่ายสำหรับ Linux ของ ASP.NET Core ซึ่งเกิดจากการประมวลผลข้อมูลความเป็นเจ้าของในไฟล์แจกจ่าย อาจนำไปสู่การแก้ไขไฟล์หรือการยกระดับสิทธิ์ในสภาพแวดล้อมท้องถิ่น โดยมีความรุนแรงระดับ สำคัญ และมีค่าพื้นฐาน CVSS อยู่ที่ 7.8

นอกจากนี้ บริษัทยังได้แก้ไขช่องโหว่การรันรหัสจากระยะไกล CVE-2026-70197 และ CVE-2026-102870 อีกครั้ง หลังจากที่การอัปเดตประจำเดือนวันที่ 13 ตุลาคม 2026 ยังไม่เพียงพอ โดยแนะนำให้ผู้ใช้รีบติดตั้งการอัปเดตโดยเร็ว และสำหรับผู้ที่รวมสภาพแวดล้อมการรันไทม์ไว้ในแอปพลิเคชันหรือใช้สภาพแวดล้อมคอนเทนเนอร์ จำเป็นต้องสร้างแอปพลิเคชันใหม่ในสภาพแวดล้อมที่อัปเดตแล้วและแจกจ่ายอีกครั้ง