微软为.NET发布紧急带外更新用于修复Brotli压缩数据格式缓冲区溢出等漏洞
内容提要
微软为.NET 8/9/10发布紧急带外更新，并推出.NET 11 RC3，修复Brotli解压缩中的高危缓冲区溢出漏洞（CVE-2026-111497，评分8.1），该漏洞可导致信息泄露、拒绝服务或权限提升。受影响场景包括ASP.NET Core请求解压、HttpClient自动解压及直接调用Brotli API。更新前应避免解压不可信Brotli数据；自包含应用需用新运行时重建，容器需更新基础镜像后重新部署。
延伸解读
漏洞触发条件与默认配置
文章指出，ASP.NET Core 请求解压中的 Brotli 支持和 HttpClient 自动解压 Brotli 响应这两条路径默认关闭，因此默认配置下风险较低。但若应用显式启用了这些功能，或直接调用 System.IO.Compression 中的 Brotli API 解压外部数据，就可能暴露在攻击面中。读者应检查代码和配置，确认是否主动开启了相关解压能力。
不同部署方式的升级差异
文章强调，仅升级主机上的 .NET 运行时并不能覆盖自包含应用或容器中打包的旧版运行时。自包含应用需用新运行时重新构建发布，容器部署需更新基础镜像后重新构建部署。这意味着升级不是单一操作，需按实际部署形态分别处理，否则可能遗漏仍携带旧运行时的实例。
临时缓解与版本对应
在完成更新前，微软建议避免让应用解压来自不可信的 Brotli 数据，这可作为临时缓解措施。修复版本包括 .NET 8.0.33、9.0.22、10.0.14 和 11 RC3 3.26522.148，仍使用 .NET 11 RC2 的用户也需升级到 RC3。读者应核对自身版本号，并注意 .NET Framework 不受此漏洞影响。
Q&A
微软最近为.NET发布了什么紧急更新？修复了哪个漏洞？
微软为.NET 8/9/10发布了紧急带外更新，并推出了.NET 11 RC3，用于修复Brotli压缩数据格式中的缓冲区溢出漏洞（CVE-2026-111497）。
Brotli解压缩漏洞CVE-2026-111497的危害有哪些？
该漏洞可导致信息泄露、拒绝服务或权限提升，攻击者利用特制压缩数据可读取或破坏内存进程。漏洞评分为8.1，等级为高危。
哪些.NET应用场景可能受到Brotli漏洞影响？
受影响场景包括：启用ASP.NET Core请求解压中的Brotli支持、HttpClient自动解压Brotli响应，或直接调用System.IO.Compression中的Brotli API。前两项默认关闭。
在安装更新前，如何临时降低Brotli漏洞风险？
微软建议在完成更新前，避免让应用解压来自不可信的Brotli数据。
不同部署方式（自包含应用、容器）应如何更新以修复漏洞？
依赖主机运行时的应用应安装对应更新版本并重启；自包含应用需使用新的运行时重新构建和发布；容器部署需更新基础镜像后重新构建和部署。仅升级主机上的.NET无法替换自包含程序或容器中打包的旧版运行时。
本次修复的.NET具体版本号是什么？.NET Framework是否受影响？
修复版本为.NET 8.0.33、9.0.22、10.0.14、11 RC3 3.26522.148。使用.NET 11 RC2的用户也需升级到RC3。微软称.NET Framework不受影响。
