Vulnerabilidades en .NET exponen aplicaciones a riesgos de ejecución de código y denegación de servicio
Múltiples fallos de alta gravedad en .NET afectan a aplicaciones Blazor, descompresión Brotli y permisos de archivos. Estos problemas pueden permitir la ejecución remota de código o una escalada de privilegios.
Resumen
- Corrección incompleta en el proxy de depuración de Blazor WebAssembly de .NET permite ejecución de código arbitrario (CVE-2026-102870).
- Fallo en la biblioteca Brotli utilizada por .NET puede causar denegación de servicio o ejecución de código (CVE-2026-111497).
- Defecto en la gestión de propiedad de archivos posibilita escalada local de privilegios (CVE-2026-114148).
- Afecta a los paquetes dotnet10 y dotnet11 en sistemas Ubuntu.
- Las organizaciones deben actualizar sus entornos .NET de inmediato.
Ubuntu ha publicado un aviso de seguridad relacionado con múltiples vulnerabilidades críticas en el entorno .NET de Microsoft. Estos fallos afectan a componentes esenciales como el proxy de depuración de Blazor WebAssembly, la biblioteca de compresión Brotli y los mecanismos internos de gestión de permisos de archivos. La explotación de estos problemas podría provocar ejecución remota de código, denegación de servicio o una escalada no autorizada de privilegios.
El fallo más grave está relacionado con una corrección incompleta publicada anteriormente bajo el identificador USN-8942-1, que dejaba las aplicaciones .NET aún expuestas a ataques de inyección debido al manejo incorrecto de valores escapados en la interfaz de depuración de Blazor. Se han identificado otras vulnerabilidades en bibliotecas de bajo nivel y comportamientos del entorno en tiempo de ejecución, lo cual amplía aún más la superficie de ataque potencial para actores maliciosos que apunten a aplicaciones empresariales basadas en plataformas .NET.
Fallo en el proxy de depuración de Blazor permite exploits remotos
- La vulnerabilidad se produce por un manejo inadecuado de la entrada controlada por el usuario dentro del componente de proxy de depuración de Blazor WebAssembly.
- Un atacante no autenticado podría aprovechar este fallo para inyectar y ejecutar comandos arbitrarios en el sistema anfitrión.
- Este problema deriva de un intento previo de corrección incompleto, originalmente publicado en USN-8942-1.
- Solo los paquetes dotnet10 y dotnet11 están afectados por esta vulnerabilidad específica (CVE-2026-102870).
Defectos en la biblioteca de compresión y gestión de archivos amplían la superficie de ataque
- La biblioteca de descompresión Brotli integrada en .NET no valida correctamente flujos de datos comprimidos mal formados.
- Atacantes remotos pueden explotar este comportamiento para provocar fallos o incluso lograr ejecución arbitraria de código (CVE-2026-111497).
- Un problema independiente relacionado con una gestión incorrecta de la propiedad de archivos durante ciertas operaciones permite a usuarios locales obtener privilegios elevados (CVE-2026-114148).
- Las tres vulnerabilidades requieren una actualización inmediata para protegerse frente a escenarios activos de explotación.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.