.NET και Brotli CVE-2026-111497: έκτακτα patches και έλεγχος εταιρικών εφαρμογών
Ημερομηνία είδησης: 2026-10-25 · Έλεγχος πηγών: 2026-11-02
Μια κρίσιμη διόρθωση δεν ολοκληρώνεται πάντα με ένα Windows Update. Στις 25 Οκτωβρίου 2026 η Microsoft δημοσίευσε έκτακτες ενημερώσεις για .NET 8, 9 και 10, καθώς και .NET 11 Release Candidate 3. Το βασικό ζήτημα, CVE-2026-111497, αφορά τον μηχανισμό αποσυμπίεσης Brotli. Οι επιχειρήσεις πρέπει να εξετάσουν όχι μόνο τι είναι εγκατεστημένο στον server αλλά και τι περιλαμβάνει κάθε εφαρμογή ή container.
Τι είναι η CVE-2026-111497
Η Microsoft περιγράφει buffer overflow στη χρήση του Brotli decoder από το .NET. Η επεξεργασία κακόβουλα διαμορφωμένων συμπιεσμένων δεδομένων μπορεί να επιτρέψει σε μη αυθεντικοποιημένο επιτιθέμενο να διαβάσει ή να αλλοιώσει μνήμη διεργασίας, με πιθανά αποτελέσματα διαρροή πληροφοριών, διακοπή λειτουργίας ή κλιμάκωση δικαιωμάτων. Ενδέχεται να επηρεάζονται εφαρμογές που χρησιμοποιούν ASP.NET Core request decompression, HttpClient automatic response decompression ή System.IO.Compression Brotli APIs. Η αυτόματη αποσυμπίεση request/response δεν είναι ενεργή εξ ορισμού και το .NET Framework δεν επηρεάζεται από τη συγκεκριμένη ευπάθεια.
- Μην θεωρείτε ότι κάθε εφαρμογή .NET είναι αυτομάτως εκμεταλλεύσιμη.
- Αξιολογήστε αν η εφαρμογή αποκωδικοποιεί Brotli από μη έμπιστες πηγές.
Ποιες ενημερώσεις ανακοίνωσε η Microsoft
Οι έκτακτες διορθώσεις της 25ης Οκτωβρίου περιλαμβάνουν .NET 8.0.33, 9.0.22 και 10.0.14, ενώ για το .NET 11 απαιτείται Release Candidate 3. Η ίδια ανακοίνωση περιλαμβάνει τη CVE-2026-114148 που αφορά Linux .NET tarball ownership και επανεκδίδει διορθώσεις για τις CVE-2026-70197 και CVE-2026-102870, οι οποίες δεν είχαν αντιμετωπιστεί πλήρως στις 13 Οκτωβρίου. Για τα Linux tarballs, οι ακριβείς περιπτώσεις επηρεασμού διαφέρουν ανά έκδοση και τύπο διανομής· δεν αρκεί μια γενική οδηγία «κάντε update Linux».
- Αντιστοιχίστε κάθε εφαρμογή με τη στοχευμένη έκδοση .NET.
- Ελέγξτε τις επίσημες ανακοινώσεις και τα supported versions πριν από rollout.
Πώς γίνεται σωστή απογραφή
Η εντολή dotnet –list-runtimes δείχνει τα runtimes που είναι εγκατεστημένα σε ένα σύστημα, όχι όμως απαραίτητα όσα έχουν ενσωματωθεί σε self-contained εφαρμογές ή container images. Ζητήστε από τις ομάδες ανάπτυξης λίστα εφαρμογών, hosting model, build pipelines και dependencies. Ειδικά σε Azure App Service, virtual machines και containers, η επιβεβαίωση πρέπει να αφορά το πραγματικό runtime της παραγωγικής εφαρμογής και όχι μόνο τον διαχειριστικό server.
- Ελέγξτε runtimes σε production, staging και build agents.
- Καταγράψτε self-contained deployments και image digests.
- Εντοπίστε εφαρμογές που κάνουν Brotli decompression και πηγές των δεδομένων.
Διόρθωση ανά τύπο deployment
Για framework-dependent εφαρμογές, εγκαταστήστε το διορθωμένο runtime και επανεκκινήστε την εφαρμογή με ελεγχόμενο τρόπο. Για self-contained deployments, απαιτείται rebuild και republish: η αλλαγή runtime στο host δεν ενημερώνει τα binaries που περιέχει η εφαρμογή. Για containers, δημιουργήστε νέα images από ενημερωμένη βάση και κάντε redeploy. Η Microsoft ζητά επίσης ειδικό έλεγχο για source-build consumers και ASP.NET Core tarball εγκαταστάσεις σε Linux.
- Δοκιμάστε βασικά API endpoints, συμπίεση και αποσυμπίεση σε staging.
- Παρακολουθήστε errors, crashes και latency μετά το rollout.
- Διατηρήστε σαφές rollback plan που δεν επαναφέρει μη ασφαλή έκδοση χωρίς αποδεκτό mitigation.
Πώς συνδέεται με Managed IT και cloud governance
Η περίπτωση αναδεικνύει το κενό ανάμεσα στο patching λειτουργικού και στο patching εφαρμογών. Χρειάζεται inventory εξαρτήσεων, υπεύθυνος ανά εφαρμογή, διαδικασία επανέκδοσης containers και απόδειξη της έκδοσης που πράγματι εκτελείται. Η VALUE360 μπορεί να βοηθήσει σε έλεγχο υποδομών, παρακολούθηση εφαρμογών και συντονισμό αλλαγών σε Windows, Linux και Azure περιβάλλοντα.
Συμπέρασμα: εντοπίστε πρώτα πού χρησιμοποιείται Brotli μέσω .NET και εφαρμόστε τη σωστή διόρθωση ανά deployment model. Ένα ενημερωμένο λειτουργικό δεν αποδεικνύει από μόνο του ότι μια self-contained εφαρμογή έχει διορθωθεί.
Δείτε τη σχετική υπηρεσία της VALUE360 →