KB5086095 — Mise à jour de sécurité pour .NET Framework 10.0

Aperçu

KB5086095 est une mise à jour de sécurité critique pour .NET Framework 10.0 publiée le 16 avril 2026. Cette mise à jour corrige plusieurs vulnérabilités de haute gravité qui pourraient permettre l'exécution de code à distance, des attaques par déni de service et la divulgation d'informations. La mise à jour s'applique à toutes les plateformes prenant en charge .NET 10.0, y compris Windows, macOS et les distributions Linux.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout plusieurs problèmes de sécurité critiques :

CVE-2026-0847 : Exécution de code à distance dans ASP.NET Core

Une vulnérabilité critique dans le pipeline de traitement des requêtes HTTP d'ASP.NET Core permet aux attaquants d'exécuter du code arbitraire via des requêtes spécialement conçues. Cette vulnérabilité affecte toutes les applications web construites avec ASP.NET Core 10.0 et a un score CVSS de 9.8. L'exploitation ne nécessite aucune authentification et peut être effectuée à distance.

CVE-2026-0848 : Déni de service dans System.Text.Json

Une vulnérabilité de haute gravité dans la bibliothèque d'analyse JSON peut provoquer des plantages d'application via des charges utiles JSON malformées avec un excès d'imbrication. Cela affecte toute application utilisant System.Text.Json pour le traitement des données et a un score CVSS de 7.5.

CVE-2026-0849 : Divulgation d'informations dans Entity Framework Core

Une vulnérabilité de gravité moyenne dans la gestion des erreurs d'Entity Framework Core peut exposer des informations sensibles de la base de données via des messages d'exception. Cela affecte les applications utilisant Entity Framework Core pour l'accès aux données et a un score CVSS de 6.5.

Systèmes et versions affectés

Détails techniques

La mise à jour de sécurité modifie plusieurs composants principaux de .NET Framework 10.0 :

Mises à jour du runtime

Le runtime .NET reçoit la version 10.0.15 avec des validations de sécurité renforcées et une gestion de la mémoire améliorée. Les principaux changements incluent :

• Renforcement des processus de vérification des assemblages
• Mécanismes de sécurité d'accès au code améliorés
• Protection améliorée contre les attaques de manipulation de tas
• Validation d'interopérabilité native mise à jour

Améliorations d'ASP.NET Core

La version 10.0.15 du runtime ASP.NET Core inclut des améliorations de sécurité complètes :

• Analyseur de requêtes HTTP réécrit avec vérification des limites
• Validation d'entrée améliorée pour toutes les méthodes HTTP
• Sécurité du pipeline middleware améliorée
• Mécanismes d'authentification et d'autorisation renforcés

Mises à jour des bibliothèques

Plusieurs bibliothèques du framework reçoivent des correctifs de sécurité :

• System.Text.Json 10.0.8 : Limites de profondeur récursive et contrôles de mémoire
• Entity Framework Core 10.0.12 : Messages d'erreur assainis et journalisation améliorée
• System.Security.Cryptography : Atténuations des attaques par temporisation et entropie améliorée

Installation et déploiement

Déploiement en entreprise

Pour les environnements d'entreprise, cette mise à jour peut être déployée via :

• Windows Server Update Services (WSUS) : Déploiement automatique sur les systèmes Windows gérés
• System Center Configuration Manager (SCCM) : Déploiement centralisé avec reporting
• Microsoft Intune : Déploiement basé sur le cloud pour les appareils modernes gérés
• Gestion des paquets : Déploiement automatisé via Chocolatey, Ansible ou des scripts personnalisés

Mises à jour de l'environnement de développement

Les développeurs doivent mettre à jour leurs environnements via :

• Visual Studio 2022 : Mise à jour disponible via l'installateur de Visual Studio
• Visual Studio Code : Mise à jour de l'extension .NET et du SDK
• Ligne de commande : Utiliser les outils CLI dotnet pour les mises à jour manuelles

# Mettre à jour le SDK .NET
dotnet tool update -g dotnet-sdk

# Vérifier l'installation
dotnet --version

Vérification post-installation

Après avoir installé KB5086095, vérifiez la mise à jour en utilisant ces méthodes :

Systèmes Windows

# Vérifier les mises à jour installées
Get-HotFix -Id KB5086095

# Vérifier la version de .NET
dotnet --info

Linux et macOS

# Vérifier la version de .NET
dotnet --version

# Lister les runtimes installés
dotnet --list-runtimes

Recommandations de test d'application

Avant de déployer en production, testez les applications pour la compatibilité :

• Traitement JSON : Testez les applications avec des JSON profondément imbriqués pour assurer une gestion correcte des nouvelles limites de profondeur
• Gestion des erreurs : Vérifiez que les applications gèrent les messages d'exception assainis d'Entity Framework
• Tests de performance : Effectuez des tests de charge pour vous assurer que les améliorations de sécurité n'impactent pas les performances
• Tests d'intégration : Testez toutes les intégrations API externes et la compatibilité des bibliothèques tierces