إحدى الثغرات التي تم إصلاحها تُؤثر على خوارزمية فك ضغط Brotli، المُستخدمة لمعالجة بعض البيانات المضغوطة. تُعرف هذه الثغرة باسم CVE-2026-111497، وقد تسمح لمهاجم غير مُصرّح له بقراءة ذاكرة العملية أو تعديلها. تشمل العواقب المُحتملة كشف البيانات، وتعطيل الخدمة، والحصول على صلاحيات مُوسّعة.
علاوة على ذلك، يُمكن أن تُؤثر هذه الثغرة على التطبيقات التي تُعالج البيانات المضغوطة باستخدام Brotli عبر ميزات ASP.NET Core، أو فك ضغط استجابة HttpClient التلقائي، أو واجهات مكتبة System.IO.Compression. ومع ذلك، توضح مايكروسوفت أن فك ضغط الطلبات والاستجابات غير مفعل افتراضيًا، لأن الثغرة الأمنية لا تؤثر على إطار عمل .NET.
من جهة أخرى، يُصلح التحديث ثغرة أمنية أخرى تُعرف برقم CVE-2026-114148، وتتعلق ببيانات ملكية ملفات توزيعة .NET لنظام لينكس. ووفقًا للمعلومات المتوفرة، يُمكن للمهاجم الذي لديه وصول محلي تعديل الملفات والحصول على صلاحيات إضافية؛ إلا أن نطاق هذه الثغرة يختلف باختلاف الإصدار. ففي .NET 10 و.NET 11، تؤثر هذه الثغرة على الحزم المستخدمة لتجميع الشفرة المصدرية، بينما في .NET 8 و.NET 9، تؤثر أيضًا على بعض توزيعات ASP.NET Core المُثبّتة عبر هذه الحزم.
تُفصّل مايكروسوفت عدة خطوات لتثبيت إصلاحات الأمان اعتمادًا على كيفية تشغيل التطبيقات أو توزيعها:
● التطبيقات التي تستخدم بيئة التشغيل المثبتة على النظام : يجب تثبيت الإصدار المُحدَّث من .NET المُناسب للتطبيق وإعادة تشغيله لتطبيق التغييرات.
● التطبيقات المستقلة : يجب إعادة بنائها ونشرها باستخدام بيئة التشغيل المُحدَّثة. لا يؤدي تثبيت إصدار أحدث من .NET على الجهاز إلى تحديث الإصدار المُضمَّن في التطبيق نفسه تلقائيًا.
● التطبيقات المُحاوية : يجب إعادة بنائها ونشرها باستخدام صور حاويات .NET المُحدَّثة.
● البيئات التي تُجمِّع .NET من المصدر : يجب تنزيل مُخرجات البناء المُحدَّثة للإصدار المُناسب وإعادة بناء الحزم لتضمين الإصلاح المُتعلِّق بخصائص ملف TAR.
● مستخدمو ASP.NET Core على .NET 8 و.NET 9 الذين يستخدمون ملفات TAR : يجب تحديث تثبيتكم باستخدام ملف TAR الخاص ببيئة تشغيل ASP.NET Core المُناسب لإصداركم، حتى لو لم تُجمِّعوا .NET من المصدر.
ليست هناك تعليقات:
إرسال تعليق