Vulnerabilidades no .NET expõem aplicativos a riscos de execução de código e DoS
Múltiplas falhas de alta gravidade no .NET afetam aplicativos Blazor, descompressão Brotli e permissões de arquivos. Esses problemas podem permitir execução remota de código ou escalonamento de privilégios.
TL;DR
- Patch incompleto no proxy de depuração do Blazor WebAssembly do .NET permite execução arbitrária de código (CVE-2026-102870).
- Falha na biblioteca Brotli usada pelo .NET pode levar à negação de serviço ou execução de código (CVE-2026-111497).
- Defeito no tratamento de propriedade de arquivos possibilita escalonamento local de privilégios (CVE-2026-114148).
- Afeta pacotes dotnet10 e dotnet11 em sistemas Ubuntu.
- As organizações devem atualizar seus runtimes .NET imediatamente.
O Ubuntu divulgou um aviso de segurança abordando múltiplas vulnerabilidades críticas no framework .NET da Microsoft. Essas falhas afetam componentes centrais, incluindo o proxy de depuração do Blazor WebAssembly, a biblioteca de compressão Brotli e mecanismos internos de tratamento de permissões de arquivos. A exploração dessas falhas pode resultar em execução remota de código, negação de serviço ou escalonamento não autorizado de privilégios.
A falha mais grave envolve uma correção incompleta lançada anteriormente sob o identificador USN-8942-1, que deixou os aplicativos .NET ainda vulneráveis a ataques de injeção por meio de valores inadequadamente escapados na interface de depuração do Blazor. Foram identificadas vulnerabilidades adicionais em bibliotecas de baixo nível e comportamentos do tempo de execução que ampliam ainda mais a superfície de ataque potencial para agentes maliciosos direcionando aplicativos web corporativos desenvolvidos em plataformas .NET.
Falha no Proxy de Depuração do Blazor Permite Explorações Remotas
- A vulnerabilidade existe devido ao escape inadequado de entradas controladas pelo usuário dentro do componente de proxy de depuração do Blazor WebAssembly.
- Um atacante não autenticado pode explorar essa falha para injetar e executar comandos arbitrários no sistema hospedeiro.
- Este problema decorre de um esforço de correção incompleto originalmente publicado na USN-8942-1.
- Somente os pacotes dotnet10 e dotnet11 são afetados por esta vulnerabilidade específica (CVE-2026-102870).
Defeitos na Biblioteca de Compressão e Tratamento de Arquivos Ampliam a Superfície de Ataque
- A biblioteca de descompressão Brotli integrada ao .NET falha ao validar corretamente fluxos de dados comprimidos malformados.
- Atacantes remotos podem explorar esse comportamento para provocar falhas ou potencialmente obter execução arbitrária de código (CVE-2026-111497).
- Uma questão separada relacionada à gestão incorreta de propriedade de arquivos durante operações específicas permite que usuários locais obtenham privilégios elevados (CVE-2026-114148).
- Todas as três vulnerabilidades exigem correção imediata para proteger contra cenários de exploração ativa.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.