به گزارش آماج، مایکروسافت در اقدامی غیرمعمول، یک به‌روزرسانی امنیتی اضطراری خارج از برنامه زمان‌بندی معمول منتشر کرده است تا آسیب‌پذیری بحرانی موجود در الگوریتم فشرده‌سازی و بازگشایی فشرده‌سازی Brotli گوگل را برطرف کند. این آسیب‌پذیری نسخه‌های .NET 8، .NET 9 و .NET 10 و همچنین نسخه پیش‌نمایش .NET 11 Release Candidate 3 را در سیستم‌عامل‌های ویندوز، مک و لینوکس تحت تأثیر قرار می‌دهد.
بر اساس اعلام مایکروسافت در ۲۵ اکتبر ۲۰۲۶، این آسیب‌پذیری که با شناسه CVE-2026-111497 ثبت شده، از نوع سرریز بافر است و می‌تواند به مهاجم احراز هویت‌نشده اجازه دهد حافظه فرایند را بخواند یا در آن اختلال ایجاد کند. افشای اطلاعات، از کار افتادن سرویس و ارتقای سطح دسترسی از جمله پیامدهای احتمالی این نقص امنیتی هستند.
آسیب‌پذیری بحرانی Brotli چه خطری دارد؟
طبق اطلاعات منتشرشده در پایگاه رسمی آسیب‌پذیری‌های امنیتی CVE، سوءاستفاده از این نقص ممکن است در شرایط خاص به اجرای کد دلخواه از طریق یک جریان داده فشرده‌شده دست‌کاری‌شده با Brotli منجر شود. چنین قابلیتی می‌تواند امنیت و پایداری برنامه‌های آسیب‌پذیر را به خطر بیندازد.
مرکز پاسخ‌گویی امنیتی مایکروسافت نیز شدت این آسیب‌پذیری را بحرانی ارزیابی کرده است. بااین‌حال، این شرکت اعلام کرده که تا زمان انتشار اطلاعیه، شواهدی از بهره‌برداری عملی از این نقص امنیتی مشاهده نشده است؛ هرچند احتمال سوءاستفاده از آن در ارزیابی امنیتی مایکروسافت در سطح «محتمل‌تر» قرار گرفته است.
کدام برنامه‌های دات‌نت در معرض خطر هستند؟
به گفته مایکروسافت، برنامه‌هایی ممکن است تحت تأثیر این آسیب‌پذیری قرار بگیرند که داده‌های فشرده‌شده با Brotli را از طریق قابلیت‌های زیر پردازش می‌کنند:
- بازگشایی فشرده‌سازی درخواست‌ها در ASP.NET Core؛
- بازگشایی خودکار فشرده‌سازی پاسخ‌ها در HttpClient؛
- رابط‌های برنامه‌نویسی Brotli در فضای نام System.IO.Compression.
مایکروسافت تأکید کرده است که قابلیت‌های بازگشایی فشرده‌سازی درخواست و پاسخ به‌صورت پیش‌فرض فعال نیستند. همچنین .NET Framework تحت تأثیر آسیب‌پذیری CVE-2026-111497 قرار ندارد.
توصیه مایکروسافت برای نصب وصله امنیتی
مایکروسافت از توسعه‌دهندگان و مدیران سیستم خواسته است هرچه سریع‌تر نسخه به‌روزشده متناسب با محیط خود را نصب کنند. روش به‌روزرسانی به شیوه انتشار و اجرای برنامه بستگی دارد.
برنامه‌های وابسته به چارچوب دات‌نت
کاربران این برنامه‌ها باید نسخه به‌روزشده محیط اجرایی .NET متناسب با نسخه هدف برنامه را نصب کنند و پس از آن، برنامه را مجدداً راه‌اندازی کنند.
برنامه‌های مستقل
در برنامه‌های مستقل که محیط اجرایی دات‌نت را همراه خود دارند، نصب نسخه جدید روی سیستم میزبان به‌تنهایی کافی نیست. این برنامه‌ها باید با محیط اجرایی به‌روزشده دوباره ساخته و منتشر شوند.
برنامه‌های مبتنی بر کانتینر
برای برنامه‌هایی که در کانتینر اجرا می‌شوند، لازم است تصویر کانتینر دات‌نت به‌روزشده جایگزین نسخه قبلی شود و برنامه مجدداً ساخته و مستقر شود.
کاربران نسخه‌های مبتنی بر کد منبع
سازمان‌هایی که دات‌نت را از کد منبع می‌سازند، باید بسته‌های به‌روزشده مربوط به نسخه مورد استفاده خود را دریافت کنند و فرایند ساخت را دوباره انجام دهند تا اصلاحات امنیتی در بسته‌های نهایی اعمال شود.
همچنین کاربران بسته‌های آرشیوی زمان اجرای ASP.NET Core در نسخه‌های .NET 8 و .NET 9 باید نسخه به‌روزشده این بسته‌ها را نصب کنند؛ این توصیه حتی برای کاربرانی که دات‌نت را از کد منبع نمی‌سازند نیز صدق می‌کند.
اهمیت به‌روزرسانی فوری سیستم‌های آسیب‌پذیر
انتشار وصله اضطراری نشان می‌دهد که آسیب‌پذیری‌های مرتبط با پردازش داده‌های فشرده‌شده می‌توانند پیامدهای امنیتی جدی داشته باشند. از آنجا که نوع استفاده برنامه از Brotli و شیوه استقرار آن در تعیین میزان مواجهه با این نقص اهمیت دارد، توسعه‌دهندگان باید نسخه دات‌نت و ساختار اجرای برنامه‌های خود را بررسی کنند.
مایکروسافت توصیه کرده است به‌روزرسانی امنیتی متناسب با محیط اجرایی نصب شود و در برنامه‌های مستقل یا کانتینری، فرایند ساخت و انتشار مجدد نیز انجام گیرد. برای دنبال‌کردن تازه‌ترین اخبار امنیت سایبری و فناوری، با آماج همراه باشید.
