CVE-2026-111497
Patch Microsoft: 5133964.
Patch disponibile KB5133964 Scarica →
Vulnerabilità · 7 ore fa
Gli aggiornamenti fuori banda di Microsoft per .NET 8, 9, 10 e 11 RC3 correggono quattro vulnerabilità, ma non aggiornano automaticamente il runtime incorporato nelle applicazioni self-contained e nelle immagini container. Due falle sono nuove; le altre due non erano state corrette del tutto con gli aggiornamenti di ottobre. Chi usa .NET 11 RC2 deve passare a RC3 per ricevere queste correzioni.
CVE-2026-111497 riguarda la decompressione Brotli: il decoder può scrivere oltre la memoria riservata, corrompendo o esponendo memoria adiacente usata dal processo. Nelle applicazioni che elaborano dati compressi tramite ASP.NET Core, HttpClient o le API .NET, questo può causare divulgazione di informazioni, DoS o privilege escalation. L’aggiornamento corregge anche una falla che può consentire a un utente locale autorizzato di elevare i privilegi su Linux e ripubblica le correzioni per CVE-2026-70197 e CVE-2026-102870.
Le applicazioni self-contained e le immagini container includono una propria copia del runtime: un aggiornamento del runtime condiviso può quindi lasciare vulnerabili le copie già distribuite. La correzione per questi ambienti arriva solo quando le applicazioni o le immagini vengono ricostruite e ridistribuite.
Patch Microsoft: 5133964.
Patch disponibile KB5133964 Scarica →
2 fonti che coprono questa storia
Microsoft releases emergency .NET security fixes for Google Brotli bug
Redmond joins growing list of software maintainers scrambling to patch compression flaw
Microsoft Issues Emergency Patch Update for Critical .NET Buffer Overf
Microsoft’s updates address two newly disclosed vulnerabilities in the .NET developer platform, as well as flaws not fully addressed in an earlier release
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-26