Microsoft phát hành bản vá khẩn cấp cho lỗ hổng .NET và Brotli

• Cảnh báo lỗ hổng: Microsoft đã phát hành bản vá khẩn cấp cho các lỗ hổng nghiêm trọng trong .NET, bao gồm CVE-2026-111497 và CVE-2026-114148.
• Phạm vi ảnh hưởng: Các phiên bản .NET 8, 9, 10 và 11 RC3 đều nằm trong diện cần cập nhật ngay lập tức.
• Cơ chế tấn công: Lỗ hổng cho phép kẻ tấn công thực hiện tràn bộ đệm, chiếm quyền điều khiển hoặc leo thang đặc quyền cục bộ.
• Khuyến nghị: Quản trị viên cần kiểm tra phiên bản runtime và triển khai lại các ứng dụng containerized hoặc self-contained để đảm bảo an toàn.

Tổng quan về đợt cập nhật bảo mật khẩn cấp

Vào ngày 25 tháng 10 năm 2026, Microsoft đã chính thức phát hành các bản cập nhật bảo mật out-of-band cho nền tảng .NET. Động thái này nhằm giải quyết triệt để các lỗ hổng liên quan đến cơ chế giải nén Brotli và các thiết lập sở hữu tệp tin không an toàn trong các gói lưu trữ (tarballs) trên hệ điều hành Linux. Đây là đợt cập nhật bổ sung quan trọng, hoàn thiện các bản vá chưa được giải quyết đầy đủ trong đợt phát hành ngày 13 tháng 10.

Các chuyên gia an ninh mạng nhấn mạnh rằng, ngay cả khi các đội ngũ kỹ thuật đã cài đặt các bản cập nhật trước đó, việc áp dụng các bản vá mới này vẫn là bắt buộc để đảm bảo tính toàn vẹn của hệ thống. Các phiên bản được cập nhật bao gồm .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 và .NET 11 Release Candidate 3.

Phân tích chi tiết các lỗ hổng bảo mật

Dưới đây là bảng tổng hợp các lỗ hổng được Microsoft xử lý trong đợt cập nhật này, bao gồm cả các vấn đề tồn đọng từ các đợt phát hành trước đó:

Lỗ hổng tràn bộ đệm Brotli (CVE-2026-111497)

Lỗ hổng này ảnh hưởng đến cách .NET xử lý giải nén dữ liệu Brotli trên tất cả các nền tảng. Một kẻ tấn công không cần xác thực có thể khai thác lỗi tràn bộ đệm để đọc hoặc làm hỏng bộ nhớ tiến trình. Các kịch bản tấn công bao gồm đánh cắp dữ liệu nhạy cảm, làm sập ứng dụng hoặc leo thang đặc quyền. Các ứng dụng sử dụng ASP.NET Core request decompression, HttpClient automatic response decompression hoặc System.IO.Compression Brotli APIs đều có nguy cơ bị ảnh hưởng.

Lỗ hổng sở hữu tệp tin trên Linux (CVE-2026-114148)

Vấn đề này liên quan đến siêu dữ liệu sở hữu tệp tin không an toàn trong các gói tarballs của .NET trên Linux. Kẻ tấn công cục bộ có thể lợi dụng sơ hở này để sửa đổi tệp tin và đạt được đặc quyền cao hơn. Đối với .NET 10 và 11, lỗ hổng chỉ ảnh hưởng đến các gói source-build. Tuy nhiên, với .NET 8 và 9, các gói ASP.NET Core tarballs cũng bị ảnh hưởng, yêu cầu người dùng phải cập nhật lại các gói lưu trữ ngay cả khi không thực hiện build từ mã nguồn.

Hướng dẫn khắc phục và triển khai

⚠️ Cảnh báo quan trọng: Việc chỉ cập nhật runtime trên máy chủ là không đủ đối với các ứng dụng self-contained. Bạn bắt buộc phải thực hiện build và publish lại ứng dụng để thay thế runtime cũ đã được đóng gói bên trong.

Để kiểm tra phiên bản runtime hiện tại đang chạy trên hệ thống, quản trị viên có thể sử dụng lệnh sau:

dotnet --list-runtimes

Đối với các môi trường container, quy trình khắc phục yêu cầu các bước sau:

• Bước 1: Cập nhật Dockerfile để sử dụng image .NET mới nhất đã được vá lỗi.
• Bước 2: Thực hiện build lại toàn bộ image ứng dụng để đảm bảo các thư viện runtime mới được tích hợp.
• Bước 3: Triển khai (deploy) lại các container lên cụm orchestration (như Kubernetes) để thay thế các instance cũ.

Các nhà nghiên cứu bảo mật khuyến nghị các tổ chức nên rà soát lại cấu hình ứng dụng, đặc biệt là các dịch vụ có xử lý dữ liệu nén Brotli, vì tính năng này không được kích hoạt mặc định nhưng lại là vector tấn công tiềm năng nếu được cấu hình sai. Để biết thêm thông tin chi tiết về các quy trình cập nhật, quản trị viên có thể tham khảo tài liệu chính thức từ Microsoft .NET Deployment Documentation.