.NET 8, 9, 10 ve 11 için OOB güvenlik güncellemesi: Brotli ve tarball sahipliği

Microsoft, .NET 8, 9, 10 ve .NET 11 RC3 için acil güvenlik güncellemeleri yayımladı. CVE-2026-111497 Brotli açımızı kapatıyor, CVE-2026-114148 ise Linux tarball sahipliği sorununu düzeltiyor. Ayrıca önceki Ekim güncellemesinde tam kapanmayan iki sorun yeniden ele alındı. Uygulamalarınızı ve container imajlarınızı güncellemeniz öneriliyor.

Kilit noktalar

• Güncel sürümler: .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 ve .NET 11 RC3; .NET 11 RC2 kullananlar RC3'e geçmeli.
• CVE-2026-111497 tüm platformları etkiler; Brotli açma özelliklerini kullanmıyorsanız risk sınırlıdır ama güncelleme yine önerilir.
• Framework-dependent uygulamalarda yeni runtime kurulumu ve uygulamanın yeniden başlatılması yeterlidir.
• Self-contained uygulamalar ve container imajları kendi runtime'larını taşıdığı için yeniden build/publish ve yeniden deploy gerekir.
• dotnet --list-runtimes ile kurulu runtime'ları kontrol edin.
• ASP.NET Core tarball kullanan .NET 8 ve 9 kurulumlarında tarball'ın yenilenmiş sürümünü kurun.

Microsoft, .NET 8, .NET 9 ve .NET 10 için olağanüstü (out-of-band) güvenlik güncellemelerini, .NET 11 Release Candidate 3 ile birlikte yayımladı. Ana konu, .NET'in Brotli sıkıştırma açmasında bulunan bir tampon taşması (CVE-2026-111497). Kimliği doğrulanmamış bir saldırgan işlem belleğini okuyabilir ya da bozabilir. Ayrıca Linux tarball'larındaki sahiplik metadatası sorunu (CVE-2026-114148) yerel bir saldırganın dosya değiştirmesine ve yetki yükseltmesine yol açabiliyor.

Brotli riski, ASP.NET Core istek sıkıştırma açma, HttpClient otomatik yanıt açma ve System.IO.Compression Brotli API'leri Brotli verisi işlediğinde geçerli. Bu özellikler varsayılan olarak kapalı. Tarball sorunu .NET 10 ve 11'de yalnızca source-build paketlerini, .NET 8 ve 9'da ise ASP.NET Core tarball'larını etkiliyor. Ayrıca SocketAsyncEventArgs bellek bozulması ve Blazor WebAssembly hata ayıklayıcısı için önceki düzeltmeler de yeniden yayımlandı.

Gerçek dünyada kullanımı

• Ddosya veya HTTP yanıtı sıkıştıran bir ASP.NET Core API'si; request decompression açıksa acil güncelleme gerekir.
• Linux sunucularında source-build veya tarball ile kurulmuş .NET SDK kullanan CI/CD ajanları.
• Self-contained olarak paketlenen ve container içinde çalışan servisler; imajların yeniden build edilmesi gerekir.

Neden önemli

Güvenlik açığı olan bir uygulamayı etkileyip etkilemediğinizi önce Brotli özelliklerinin açık olup olmadığına bakarak belirleyin; ancak runtime yenilemesi, self-contained ve container dağıtımları için ayrıca yapılmalıdır. Kurulumdan sonra eski runtime'ın hâlâ çalışmadığını doğrulamak gerekir.

Benzer haberler

• React, .NET 10 ve Microsoft Foundry ile güvenli bir kurumsal chatDVDEV Community: #dotnet1 gün önce
• ASP.NET Core'da authentication ve authorization: ne zaman hangisi, güvenle nasıl yayına alınırDVDEV Community: #aspnetcore1 gün önce
• MCP Sunucularında Ölçekte Rate Limiting ve Kaynak YönetişimiDVDEV Community: #aspnetcore1 gün önce