MSが定例外パッチ、「.NET」脆弱性を修正 - Brotli問題などに対応

マイクロソフトは、アプリケーション開発環境「.NET」における複数の脆弱性へ対処した定例外のセキュリティアップデートを公開した。あわせて10月の月例セキュリティ更新で修正が不十分だった脆弱性にも対応したという。

同社は現地時間2026年10月25日、「.NET 10」「同9」「同8」向けのセキュリティアップデートを公開した。あらたに2件の脆弱性を修正。あわせて10月13日のセキュリティ更新で完全に修正できていなかった2件についても対応したという。

「CVE-2026-111497」は、データ圧縮形式「Brotli」の展開処理を行うGoogle製ライブラリに判明したバッファオーバーフローの脆弱性。細工された圧縮データを処理することにより、認証を必要とすることなくメモリ上の情報を読み取られたり、サービス拒否や権限の昇格などが生じるおそれがある。

「Brotli API」を用いて、外部から受け取った圧縮データを展開する場合のほか、デフォルト設定では無効だが、「ASP.NET Core」のリクエスト展開機能や「HttpClient」のレスポンス自動展開機能を有効化した場合なども影響を受ける。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」。Microsoftは同脆弱性の重要度を4段階中もっとも高い「緊急（Critical）」とした。「Brotli」のみを除外する回避策なども案内している。

一方「CVE-2026-114148」は、「ASP.NET Core」などのLinux向け配布ファイルに確認された権限昇格の脆弱性。

「Linux」向けの配布ファイルに含まれる所有権情報の処理に起因。ローカル環境において、ファイルの改変や権限昇格につながるおそれがある。重要度は「重要（Important）」で、CVSS基本値は「7.8」。

また2026年10月13日の月例更新で修正が不十分だったリモートコード実行の脆弱性「CVE-2026-70197」「CVE-2026-102870」についても再度修正を実施した。

同社は利用者に対し、早急にアップデートを適用するよう呼びかけている。

実行環境をアプリケーションに組み込んで配布している場合やコンテナ環境では、更新した環境でアプリケーションを再ビルドし、あらためて配布する必要がある。

（Security NEXT - 2026/10/26 ）ツイート