Microsoft Security Advisory CVE-2026-85790 – luka ujawnienia informacji w .NET
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie
Firma Microsoft publikuje niniejszy biuletyn bezpieczeństwa, aby przekazać informacje o podatności w bibliotece Microsoft.Native.Quic.MsQuic.Schannel. Zawiera on również wytyczne dla programistów dotyczące aktualizacji aplikacji w celu usunięcia tego zagrożenia.
Różne podatności w MsQuic są eliminowane poprzez aktualizację zależności w postaci natywnych plików binarnych.
Ogłoszenie
Ogłoszenie dotyczące tej kwestii jest dostępne pod adresem: https://github.com/dotnet/announcements/issues/470
Szczegóły CVSS
- Wersja: 3.1
- Poziom ważności: Moderate
- Wynik punktowy: 5.9
- Wektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N - Słabość: CWE-416 (Use After Free)
Podatne platformy
- Platformy: Windows
- Architektury: Wszystkie
Podatne pakiety
Podatność dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej podatnych wersji pakietów.
| Nazwa pakietu | Wersja podatna | Wersja załatana |
|---|---|---|
| Microsoft.Native.Quic.MsQuic.Schannel | >= 1.9.0, <= 2.6.1 | 2.6.2 |
Często zadawane pytania (FAQ)
Skąd mam wiedzieć, czy problem mnie dotyczy?
Jeżeli korzystasz z pakietu wymienionego w sekcji dotyczącej podatnych pakietów, aplikacja jest narażona na tę lukę.
Pozostałe informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem we wspieranej wersji .NET należy zgłosić go do Microsoft Security Response Center (MSRC) za pośrednictwem Portalu dla badaczy MSRC. Więcej informacji można znaleźć w sekcji MSRC – Często zadawane pytania dotyczące zgłaszania problemów.
Zgłoszenia bezpieczeństwa przesyłane do MSRC mogą kwalifikować się do programu nagród Microsoft .NET Bounty. Warunki i szczegóły programu Microsoft .NET Bounty znajdują się pod adresem https://aka.ms/corebounty.
Wsparcie
Pytania dotyczące tej kwestii można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime. W repozytorium ogłoszeń (https://github.com/dotnet/Announcements) niniejszy biuletyn zostanie opublikowany jako zgłoszenie (issue) wraz z linkiem do wątku dyskusyjnego, w którym można zadawać pytania.
Zastrzeżenie prawne
Informacje zawarte w niniejszym biuletynie są dostarczane w stanie „takim, w jakim są” (as is), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków przedsiębiorstwa lub szkody szczególne, nawet jeśli Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody następcze lub przypadkowe, więc powyższe ograniczenie może nie mieć zastosowania.
Linki zewnętrzne
Podziękowania
- reinusKR
Historia zmian
V1.0 (10/13/2026): Opublikowano biuletyn.
Co trzeba zrobić
-
Aby rozwiązać problem, należy zainstalować najnowszą wersję platformy .NET. W przypadku zainstalowania zestawów .NET SDK za pośrednictwem Visual Studio, program wyświetli monit o aktualizację Visual Studio, co spowoduje również aktualizację zestawów .NET SDK.
-
Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj jego referencję do wersji załatanej. Zainstalowane wersje można wyświetlić, uruchamiając polecenie
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego (runtime) lub zestawu SDK należy ponownie uruchomić aplikacje, aby aktualizacja zaczęła działać.
Ponadto, jeśli wdrożono aplikacje autonomiczne (self-contained) korzystające z wersji objętych problemem, są one również podatne i muszą zostać ponownie skompilowane oraz wdrożone.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.Native.Quic.MsQuic.Schannel | >= 1.9.0, < 2.5.12, >= 2.6.0, < 2.6.3 | 2.5.12, 2.6.3 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-416- Platforma
- .NET (NuGet)
- Paczka
Microsoft.Native.Quic.MsQuic.Schannel- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 19:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-2mxg-prvg-9jfg - CC BY 4.0
Historia podatności: Microsoft.Native.Quic.MsQuic.Schannel
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 10.2023 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Wysoka 3
- Średnia 1
Ujawnienia w latach
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 3
-
Microsoft Security Advisory CVE-2026-85790 – luka ujawnienia informacji w .NET ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.