Microsoft hat Out-of Band-Sicherheitsupdates für .NET 8, 9 und 10 herausgegeben und empfiehlt, diese so schnell wie möglich aufzuspielen. Die Updates beheben die zwei Schwachstellen
CVE-2026-111497 und
CVE-2026-114148, die mit CVSS Scores von 8.1 respektive 7.1 als hochriskant gelten. Bei CVE-2026-111497 handelt es sich um eine Buffer-Overflow-Schwachstelle, die den Umgang von .NET mit dem Dekompressionsalgorithmus Brotli betrifft. Angreifer können über die Sicherheitslücke ohne Authentifizierung Speicherinhalte auslesen. Bei CVE-2026-114148 geht es um unsichere Ownership-Metadaten in .NET-Tarballs, die einem lokal tätigen Angreifer zu höheren Berechtigungen verhelfen und ihm erlauben können, Dateien zu manipulieren.
Die Notfall-Updates enthalten daneben Fixes für zwei bereits Mitte Oktober veröffentlichte Sicherheitsaktualisierungen gegen die Schwachstellen CVE-2026-70197 und CVE-2026-102870. Die ursprünglichen Updates hätten die Probleme nicht völlig beseitigt, teilt
Microsoft mit. Weitere Details zu den Aktualisierungen liefert Microsoft in einem
Dev-Blogs-Beitrag, inklusive Anweisungen zur Anwendung der Updates für verschiedene Umgebungen wie etwa Applikationen, die auf ein externes .NET-Framework zurückgreifen oder die Runtime selbst enthalten oder für die Aktualisierung von Containern.
(ubi)
