Brotli解壓縮漏洞也影響.NET，微軟緊急發布臨時更新修補

微軟10月25日發布.NET臨時（Out-of-Band）安全更新，緊急修補Brotli解壓縮漏洞。應用程式若解開攻擊者提供的惡意壓縮資料，可能讓未經身分驗證的攻擊者讀取或破壞程式記憶體，造成資料外洩、服務中斷或權限提升。此次更新也修補Linux封裝的檔案擁有權問題，並修正10月13日安全更新未完整處理的另兩項漏洞。

Brotli是常用的資料壓縮格式，可減少網頁等內容的傳輸量。Node.js已於10月21日修補CVE-2026-111497，.NET使用的Brotli解壓縮函式庫也存在相同漏洞，程式解開攻擊者提供的壓縮資料時，可能將內容寫入預定範圍以外的記憶體。微軟將漏洞列為高風險，CVSS評分為8.1分。

使用ASP.NET Core解壓縮收到的請求、透過HttpClient自動解壓縮伺服器回應，或直接呼叫Brotli解壓縮API的.NET程式，若處理攻擊者控制的資料，可能受到影響。前兩項自動解壓縮功能預設未啟用，.NET Framework不受影響。

微軟10月13日已公布另外兩項漏洞，但當時的更新未完整處理。CVE-2026-70197與Windows網路通訊的記憶體損壞有關，修正程式未納入前次更新，而CVE-2026-102870則影響.NET 10及11的Blazor WebAssembly偵錯器，開發者偵錯時，若透過偵錯器計算涉及攻擊者控制資料的運算式，可能導致惡意程式碼在自己的電腦上執行。受影響的偵錯器套件須另外更新，單獨更新共用執行環境不足以修補。

另一項CVE-2026-114148漏洞與Linux版.NET封裝的檔案擁有權資訊有關，若解壓縮時保留不安全的擁有權資訊，本機攻擊者可能因此修改檔案並提升權限。受影響範圍包括.NET 8至11的原始碼建置封裝，以及.NET 8和9的部分ASP.NET Core封裝；使用後者的用戶即使沒有自行建置，也需要更新。

微軟發布的修補版本為.NET 8.0.33、9.0.22、10.0.14及.NET 11候選版本RC3。依賴主機執行環境的應用程式須更新執行環境並重新啟動，自含式應用程式（Self-contained applications） 及容器則須重新建置、部署。針對Linux封裝漏洞CVE-2026-114148，受影響用戶須在新目錄安裝修正版本，使用原始碼建置封裝者也須重新建置套件。