KB5081278 — Mise à jour de sécurité pour .NET 9.0

Aperçu

KB5081278 est une mise à jour de sécurité critique publiée le 10 mars 2026 pour le runtime .NET 9.0 et les applications ASP.NET Core. Cette mise à jour corrige plusieurs vulnérabilités de haute gravité qui pourraient permettre l'exécution de code à distance, des attaques par déni de service et la divulgation d'informations dans les applications fonctionnant sur les plateformes Windows, Linux et macOS.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout trois vulnérabilités de sécurité critiques :

CVE-2026-0847 : Exécution de code à distance dans .NET Runtime

Une vulnérabilité critique dans les composants de sérialisation binaire du runtime .NET permet aux attaquants d'exécuter du code arbitraire via des objets sérialisés spécialement conçus. Cette vulnérabilité affecte les applications qui désérialisent des données non fiables en utilisant des formateurs binaires.

Score CVSS : 9.8 (Critique)
Vecteur d'attaque : Réseau
Impact : Compromission complète du système

CVE-2026-0848 : Déni de service dans ASP.NET Core

Une vulnérabilité de haute gravité dans le pipeline de traitement des requêtes d'ASP.NET Core permet aux attaquants de provoquer une épuisement des ressources via des requêtes HTTP malformées. Cela peut entraîner une indisponibilité de l'application et une perturbation du service.

Score CVSS : 7.5 (Élevé)
Vecteur d'attaque : Réseau
Impact : Indisponibilité du service

CVE-2026-0849 : Divulgation d'informations dans System.Text.Json

Une vulnérabilité de gravité moyenne dans la bibliothèque System.Text.Json peut exposer des contenus mémoire sensibles lors des opérations de sérialisation JSON. Cela affecte les applications traitant des données sensibles via des opérations JSON.

Score CVSS : 6.5 (Moyen)
Vecteur d'attaque : Local
Impact : Divulgation d'informations

Systèmes affectés

Cette mise à jour de sécurité s'applique aux composants et plateformes .NET 9.0 suivants :

Détails techniques

Composants du runtime mis à jour

Les composants du runtime .NET suivants reçoivent des correctifs de sécurité :

• System.Runtime.Serialization.dll - Sécurité de désérialisation améliorée
• Microsoft.AspNetCore.dll - Limites de traitement des requêtes améliorées
• System.Text.Json.dll - Gestion sécurisée de la mémoire
• CoreCLR - Améliorations de la sécurité du runtime

Modifications de configuration

Les applications ASP.NET Core peuvent désormais configurer des paramètres de sécurité supplémentaires :

{
  "Kestrel": {
    "Limits": {
      "MaxRequestHeaderCount": 100,
      "MaxMultipartBodyLength": 134217728,
      "ConnectionTimeout": "00:02:00"
    }
  }
}

Exigences d'installation

Prérequis système

• Système d'exploitation : Windows 10 1809+, Windows Server 2019+, ou distributions Linux prises en charge
• Architecture : x64, x86, ARM64
• Espace disque : Minimum 500 Mo d'espace libre
• Permissions : Accès administrateur ou root requis

Mises à jour de l'environnement de développement

Les développeurs utilisant .NET 9.0 doivent mettre à jour :

• Visual Studio 2025 à la version 17.12.4 ou ultérieure
• Visual Studio Code avec extension C#
• Outils CLI .NET et SDK
• Images de base Docker pour les applications conteneurisées

Considérations de déploiement

Mises à jour de l'environnement de production

Pour les déploiements en production, considérez les éléments suivants :

• Tests de mise en scène : Testez les applications de manière approfondie dans des environnements de mise en scène
• Mises à jour progressives : Déployez les mises à jour progressivement pour minimiser les perturbations de service
• Surveillance : Surveillez les performances de l'application et les taux d'erreur après le déploiement
• Plan de retour en arrière : Préparez des procédures de retour en arrière en cas de problèmes de compatibilité

Mises à jour des conteneurs

Les applications utilisant des conteneurs Docker doivent :

• Mettre à jour les images de base pour inclure les correctifs de sécurité
• Reconstruire et redéployer les images de conteneurs
• Mettre à jour les déploiements Kubernetes avec de nouvelles versions d'images
• Vérifier les résultats de l'analyse de sécurité du registre de conteneurs