Biuletyn bezpieczeństwa Microsoft CVE-2026-85363 – luka umożliwiająca zdalne wykonanie kodu w programach .NET i Visual Studio

Podsumowanie

Firma Microsoft publikuje niniejszy biuletyn bezpieczeństwa, aby przekazać informacje o podatności w bibliotece Microsoft.WindowsDesktop.App.Runtime (WPF). Niniejszy biuletyn zawiera również wskazówki dla deweloperów dotyczące aktualizacji aplikacji w celu usunięcia tej luki.

Kontrolowane przez atakującego współrzędne glifów XPS mogą doprowadzić do przepełnienia w arytmetyce wskaźników docelowych w CD3DGlyphBank::RectFillAlpha, powodując zapis poza zakresem (out-of-bounds write) i zakończenie procesu.

Komunikat

Oficjalny komunikat dotyczący tego problemu można znaleźć pod adresem https://github.com/dotnet/announcements/issues/469

Szczegóły CVSS

• Wersja: 3.1

• Ważność: Wysoka

• Ocena: 8.8

• Wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

• Słabość: CWE-190 (Integer Overflow or Wraparound)

Platformy objęte problemem

• Platformy: Windows
• Architektury: Wszystkie

<a name="affected-packages"></a>Pakiety objęte problemem

Podatność dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej wersji pakietów.

Często zadawane pytania (FAQ)

<a name="how-affected"></a>Skąd mam wiedzieć, czy problem mnie dotyczy?

Używanie pakietu wymienionego w sekcji pakiety objęte problemem oznacza narażenie na tę podatność.

Inne informacje

Zgłaszanie problemów z bezpieczeństwem

W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji platformy .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem portalu MSRC Researcher Portal.. Więcej informacji znajduje się na stronie MSRC Report an Issue FAQ..

Zgłoszenia bezpieczeństwa dokonywane za pośrednictwem MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły programu Microsoft .NET Bounty, w tym jego warunki, znajdują się pod adresem https://aka.ms/corebounty..

Pomoc techniczna

Pytania dotyczące tego problemu można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. W repozytorium Announcements (https://github.com/dotnet/Announcements)) niniejszy biuletyn pojawi się jako zgłoszenie (issue) i będzie zawierać łącze do wątku dyskusyjnego, w którym można zadawać pytania.

Zastrzeżenie

Informacje zawarte w tym biuletynie są dostarczane w stanie „takim, w jakim są” (as is), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody wtórne lub przypadkowe, więc powyższe ograniczenie może nie mieć zastosowania.

Linki zewnętrzne

CVE-2026-85363

Podziękowania

• Ky0toFu (@ky0tofu)

Historia zmian

V1.0 (10/13/2026): Biuletyn opublikowany.