マイクロソフト、.NETのBrotli脆弱性など4件を臨時更新で修正 定例更新の不備2件も

　マイクロソフトは10月26日（日本時間）、開発基盤「.NET」の臨時（OOB）セキュリティ更新を公開した。

　修正版は.NET 8.0.33、.NET 9.0.22、.NET 10.0.14と、プレリリース版の.NET 11 RC3。10月13日の定例更新とは別に、4件の脆弱性を修正した。.NET Frameworkは対象外としている。

　中心となるのは、Brotli圧縮データの展開処理に関する脆弱性「CVE-2026-111497」だ。境界外書き込み（CWE-787）で、認証不要の攻撃者がプロセスのメモリーを読み取ったり破壊したりでき、情報漏えい、サービス拒否、権限昇格につながるおそれがあるという。深刻度はCVSS 3.1で8.1（High）、対象はすべてのプラットフォーム。同じCVE番号は、10月21日に修正版が出たNode.jsの脆弱性にも付いている。

　影響を受けるのは、ASP.NET Coreのリクエスト展開、HttpClientの自動レスポンス展開、System.IO.CompressionのBrotli APIなどで、攻撃者が用意したBrotliデータを展開する場合。前の2つは既定では無効で、.NETを導入しただけでは影響を受けないと説明している。更新までは、信頼できないBrotliデータの展開を避けるよう求めた。

　このほか、Linux向けのtarballに含まれる所有権のメタデータが安全でなく、ローカルの攻撃者がファイルを書き換えて権限を昇格できるおそれがある「CVE-2026-114148」を修正した。.NET 10と11はソースビルド用のtarballが対象で、.NET 8と9はASP.NET Coreのtarballも対象になる。

　さらに、10月13日の更新で修正が不十分だった「CVE-2026-70197」（ソケット処理のメモリー破損、.NET 8～11）と「CVE-2026-102870」（Blazor WebAssemblyのデバッガー、.NET 10と11）の修正版を改めて提供した。後者は、共有ランタイムの更新だけでは足りず、該当パッケージの参照も更新する必要がある。

　フレームワーク依存のアプリは更新したランタイムを入れてアプリを再起動し、自己完結型のアプリは再ビルドして再配布する。コンテナーはイメージを作り直す。導入済みのランタイムは「dotnet --list-runtimes」で確認できる。