#安全资讯 微软为.NET 发布紧急带外更新用于修复 Brotli 数据压缩格式中的缓冲区溢出问题，该问题可能导致信息泄露、拒绝服务或权限提升。攻击者使用特制的 Brotli 压缩数据包就有可能触发漏洞，为此微软已经发布.NET 8/9/10/11 RC3 版用于修复漏洞。注意：不同部署方式需要单独升级，例如自包含应用需要使用新的运行时重新构建和发布，容器部署需要更新基础镜像后重新构建和部署。查看全文：https://ourl.co/127685

微软日前为.NET 8/9/10 发布紧急带外更新并推出.NET 11 RC3 版用于修复安全漏洞，此次修复的重点是 Brotli 压缩数据格式中的缓冲区溢出漏洞。早前已经有安全团队发现 Brotli 中存在安全漏洞，所有使用这种数据压缩格式的软件都存在风险。

该漏洞编号 CVE-2026-111497，涉及.NET 使用的 Brotli 解压缩算法，攻击者可以利用特制压缩数据读取或破坏内存进程，进而造成信息泄露、拒绝服务或权限提升等问题。该漏洞评分为 8.1 分，等级为高危，但微软称.NET Framework 不受影响。

应用在以下情况下可能涉及受影响的解压路径：启用 ASP.NET Core 请求解压中的 Brotli 支持、HttpClient 自动解压 Brotli 响应，或直接调用 System.IO.Compression 中的 Brotli API，前两项默认关闭。微软建议在完成更新前，避免让应用解压来自不可信的 Brotli 数据。

本次修复版本为.NET 8.0.33、9.0.22、10.0.14、11 RC3 3.26522.148，仍然使用.NET 11 RC2 版的用户也需要及时升级到 RC3 版以封堵这些漏洞。

依赖主机运行时的应用应当安装对应更新版本并重启，自包含应用则需要使用新的运行时重新构建和发布，容器部署需要更新基础镜像后重新构建和部署。仅升级主机上的.NET 无法替换自包含程序或容器中打包的旧版运行时，所以升级时应当根据实际环境进行操作。

消息源：Microsoft DOTNET 安全更新

热门推荐仅需99元/年，硅谷CN2GIA服务器，另有3年版仅需528元，限量销售，售完即止