Microsoft Security Advisory CVE-2026-66822 - Luka ujawnienia informacji w programach .NET i Visual Studio
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie
Firma Microsoft opublikowała niniejszy biuletyn bezpieczeństwa, aby przekazać informacje o podatności w module System.Net.Http. SocketsHttpHandler może zachować nagłówek Proxy-Authorization podczas przekierowania HTTP i ujawnić podstawowe poświadczenia serwera proxy serwerowi docelowemu.
Ogłoszenie
Ogłoszenie dotyczące tej kwestii znajduje się pod adresem https://github.com/dotnet/announcements/issues/448.
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Średnia (Moderate)
- Wynik: 5.9
- Wektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N - Słabość: CWE-201 (Wprowadzenie poufnych informacji do przesyłanych danych)
Platformy objęte usterką
- Platformy: Windows, Linux, macOS
- Architektury: Wszystkie
Pakiety objęte usterką
Luka dotyczy projektów Microsoft .NET korzystających z poniższych wersji pakietów:
Często zadawane pytania (FAQ)
Skąd mam wiedzieć, czy problem mnie dotyczy?
Jeśli używasz pakietu wymienionego w powyższej tabeli podatnych pakietów, jesteś narażony na tę lukę.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji platformy .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem portalu MSRC Researcher Portal.). Więcej informacji można znaleźć na stronie MSRC Report an Issue FAQ.).
Zgłoszenia dotyczące bezpieczeństwa przesłane za pośrednictwem MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły programu Microsoft .NET Bounty, w tym regulamin, znajdują się pod adresem https://aka.ms/corebounty..
Pomoc techniczna
Pytania dotyczące tej kwestii można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium Announcements (https://github.com/dotnet/Announcements)) będzie zawierało ten biuletyn jako zgłoszenie (issue) wraz z linkiem do dyskusji, w której można zadawać pytania.
Zrzeczenie się odpowiedzialności
Informacje zawarte w niniejszym biuletynie są dostarczane w stanie „takim, w jakim są” (as is), bez jakichkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód.
Linki zewnętrzne
Podziękowania
- Ky0toFu (@ky0tofu)
- jhanks
- Lucas Futures
- Wenhan Zhou
- Weeraphat Srisutham
- Brent Woodard (@crusader_sec) z Crusader Security, LLC (https://crusaderproxy.com/))
- Kevin Schmidt
- Piotr Pietruszewski
- Leandro Batista
- Raffaello Tamagnini
- Harkenzo
- Anonymous
- Attila.Cs (zerodaybugs.com) z https://zerodaybugs.com/
- l8BL z ENKI WhiteHat (https://www.enki.co.kr/))
- caveeroo (https://caveeroo.dev/)) z Tarlogic (https://www.tarlogic.com/))
Historia zmian
V1.0 (10/13/2026): Opublikowano biuletyn.
Co trzeba zrobić
Aby wyeliminować lukę, wykonaj następujące kroki:
- Zainstaluj najnowszą wersję platformy .NET. Jeśli zainstalowano co najmniej jeden zestaw .NET SDK za pośrednictwem programu Visual Studio, program Visual Studio wyświetli monit o aktualizację, która zaktualizuje również pakiety SDK platformy .NET.
- Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj odwołanie do pakietu do wersji załatanej. Listę zainstalowanych wersji można wyświetlić, uruchamiając polecenie
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub zestawu SDK uruchom ponownie aplikacje, aby aktualizacja zaczęła obowiązywać.
Ponadto w przypadku wdrożenia aplikacji autonomicznych (self-contained)) korzystających z wersji objętych usterką, aplikacje te są również podatne i należy je ponownie skompilować oraz wdrożyć.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32 | 9.0.21, 11.0.0-rc.2, 10.0.13, 8.0.32 |
Odnośniki
- https://github.com/dotnet/runtime/security/advisories/GHSA-wxxw-5cvc-53j7
- https://github.com/dotnet/announcements/issues/448
- https://github.com/dotnet/runtime/issues/135697
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-66822
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-66822
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-201- Platforma
- .NET (NuGet)
- Paczka
Microsoft.NETCore.App.Runtime.linux-arm, Microsoft.NETCore.App.Runtime.linux-arm64, Microsoft.NETCore.App.Runtime.linux-musl-arm- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-wxxw-5cvc-53j7 - CC BY 4.0
Historia podatności: Microsoft.NETCore.App.Runtime.linux-arm
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 35
- Pierwsza → ostatnia
- 09.2020 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Wysoka 22
- Średnia 12
- Niska 1
Ujawnienia w latach
- 2020: 1
- 2021: 0
- 2022: 6
- 2023: 5
- 2024: 4
- 2025: 5
- 2026: 14
-
Microsoft Security Advisory CVE-2026-66822 - Luka ujawnienia informacji w programach .NET i Visual Studio ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.