Gestern Abend wurde nicht nur für die verschiedenen Versionen von PowerShell ein Update bereitgestellt. Auch die .NET Versionen haben ein Out of Band Sicherheitsupdate erhalten. Ist schon sehr selten, dass diese Updates an einem Sonntag bereitgestellt werden.
So wurden in der .NET 11 RC3, 10.0.14, 9.0.22 und 8.0.33 jeweils die CVE-2026-111497 „In der Verwendung des Brotli-Dekomprimierungsalgorithmus durch .NET besteht eine Sicherheitslücke durch einen Pufferüberlauf. Diese Sicherheitslücke könnte es einem nicht authentifizierten Angreifer ermöglichen, den Prozessspeicher auszulesen oder zu manipulieren. Dies könnte zu einer Offenlegung von Informationen, einem Denial-of-Service oder einer Ausnutzung von Berechtigungen führen.“
Und die CVE-2026-114148 unter Linux korrigiert. „Unsichere Metadaten zu Eigentumsrechten in betroffenen .NET-Tarballs könnten es einem lokalen Angreifer ermöglichen, Dateien zu verändern und erweiterte Berechtigungen zu erlangen.“
- dotnet.microsoft.com/dotnet/11.0
- dotnet.microsoft.com/dotnet/10.0
- dotnet.microsoft.com/dotnet/9.0
- dotnet.microsoft.com/dotnet/8.0
Danke für die vielen Hinweise.
Hab’s drüben im PowerShell-Artikel auch schon ergänzt. Hab noch nen weiteren Link gefunden, da es wohl kein reines .NET Problem sein dürfte.
https://thehackernews.com/2026/10/brotli-decoder-flaw-behind-nodejs-rce.html