KB5086096 — Mise à jour de sécurité pour .NET 8.0 Runtime et SDK

Aperçu

KB5086096 est une mise à jour de sécurité critique publiée le 16 avril 2026 pour les composants runtime et SDK de .NET 8.0. Cette mise à jour corrige plusieurs vulnérabilités de haute gravité qui affectent les applications fonctionnant sur les plateformes Windows, Linux et macOS. La mise à jour fait partie du cycle régulier de mises à jour de sécurité de Microsoft et doit être appliquée immédiatement à tous les déploiements de .NET 8.0.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout plusieurs vulnérabilités de sécurité critiques dans le runtime .NET 8.0 et les outils de développement :

CVE-2026-0145 : Exécution de code à distance dans le runtime .NET

Une vulnérabilité critique dans le composant de sérialisation System.Text.Json permet à des attaquants distants d'exécuter du code arbitraire en envoyant des données JSON spécialement conçues aux applications vulnérables. Cette vulnérabilité affecte les applications qui désérialisent des entrées JSON non fiables et a un score CVSS de 9,8. La vulnérabilité réside dans le mécanisme de gestion des types polymorphes où une validation insuffisante permet aux attaquants d'instancier des types arbitraires lors de la désérialisation.

CVE-2026-0146 : Élévation de privilèges dans le SDK .NET

Une vulnérabilité de haute gravité dans le SDK .NET permet à des attaquants locaux d'obtenir des privilèges élevés lors des opérations de restauration de paquets. Cette vulnérabilité affecte les environnements de développement et les systèmes de construction où les paquets NuGet sont restaurés avec des privilèges élevés. Les attaquants pourraient exploiter cela en plaçant des paquets malveillants dans des sources de paquets locales ou en compromettant des scripts de restauration de paquets.

CVE-2026-0147 : Divulgation d'informations dans ASP.NET Core

Une vulnérabilité de gravité moyenne dans les applications ASP.NET Core pourrait permettre aux attaquants d'obtenir des informations sensibles via des messages d'erreur détaillés. Cela affecte les applications fonctionnant en mode développement ou avec un rapport d'erreurs détaillé activé dans les environnements de production. La vulnérabilité pourrait exposer des chaînes de connexion de base de données, des clés API et d'autres données de configuration sensibles.

Systèmes et versions affectés

Cette mise à jour de sécurité s'applique à toutes les installations de .NET 8.0 sur les plateformes prises en charge :

Détails techniques de mise en œuvre

Les correctifs de sécurité dans KB5086096 mettent en œuvre plusieurs couches de protection :

Validation d'entrée améliorée

Le composant System.Text.Json mis à jour inclut une validation d'entrée complète qui empêche les charges utiles malveillantes d'exploiter les vulnérabilités de désérialisation. Cela inclut une vérification stricte des types, une validation des limites et une assainissement des informations de type polymorphe.

Séparation des privilèges

La mise à jour du SDK met en œuvre une séparation appropriée des privilèges lors des opérations de paquets, garantissant que les processus de restauration et de construction des paquets ne peuvent pas être exploités pour obtenir un accès au niveau système. Cela inclut le sandboxing des cibles MSBuild personnalisées et la validation des sources de paquets.

Assainissement des messages d'erreur

Les applications ASP.NET Core incluent désormais une gestion améliorée des erreurs qui empêche les informations sensibles d'être exposées via les détails des exceptions tout en maintenant des informations de débogage utiles pour les développeurs.

Considérations de déploiement

Les organisations devraient prioriser le déploiement de cette mise à jour de sécurité en raison de la nature critique des vulnérabilités corrigées. La mise à jour peut être déployée via les mécanismes de distribution de logiciels existants et ne nécessite pas de modifications du code des applications dans la plupart des cas.

Recommandations de test

Avant de déployer dans les environnements de production, les organisations devraient tester les applications qui utilisent une logique de sérialisation personnalisée, des paquets NuGet tiers ou des configurations MSBuild complexes. Portez une attention particulière aux applications qui désérialisent du JSON à partir de sources externes ou utilisent des implémentations personnalisées de JsonConverter.

Procédures de retour en arrière

Si des problèmes surviennent après le déploiement, la mise à jour peut être annulée en réinstallant la version précédente de .NET 8.0. Cependant, cela ne devrait être fait que comme mesure temporaire tout en résolvant les problèmes de compatibilité, car cela laissera les systèmes vulnérables aux problèmes de sécurité corrigés par cette mise à jour.