Komunikat bezpieczeństwa firmy Microsoft CVE-2026-96225 — luka w zabezpieczeniach dotycząca podniesienia uprawnień w .NET i Visual Studio
Podsumowanie
Firma Microsoft publikuje ten komunikat bezpieczeństwa, aby przekazać informacje o luce w zabezpieczeniach w Microsoft.NETCore.App.Runtime oraz System.Private.CoreLib. Komunikat zawiera również wskazówki dotyczące czynności, jakie deweloperzy mogą podjąć, aby zaktualizować swoje aplikacje i wyeliminować tę lukę.
Ścieżki nazwanych muteksów i pamięci współdzielonej w systemach Unix mogą być manipulowane poprzez niezabezpieczone katalogi globalne, wyścigi dowiązań symbolicznych (symlink races) oraz niebezpieczne zmiany uprawnień, co umożliwia lokalnym atakującym obcinanie lub nadpisywanie plików, rozszerzanie uprawnień do katalogów lub podnoszenie uprawnień.
Ogłoszenie
Ogłoszenie dotyczące tego problemu znajduje się pod adresem https://github.com/dotnet/announcements/issues/476.
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Wysoka
- Wynik: 7.8
- Wektor:
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - Słabość: CWE-59 (Nieprawidłowe rozwiązywanie dowiązań przed dostępem do pliku ('Link Following'))
Dotknięte platformy
- Platformy: Linux, macOS
- Architektury: Wszystkie
Dotknięte pakiety
Luka dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej wersji pakietów:
Często zadawane pytania (FAQ)
Skąd mam wiedzieć, czy dotyczy mnie ten problem?
Jeśli używasz pakietu wymienionego w sekcji dotyczącej dotkniętych pakietów, narażasz się na działanie luki.
Jak rozwiązać ten problem?
- Aby usunąć problem, zainstaluj najnowszą wersję platformy .NET. Jeśli co najmniej jeden zestaw .NET SDK został zainstalowany za pośrednictwem programu Visual Studio, program Visual Studio wyświetli monit o aktualizację, co spowoduje również zaktualizowanie zestawów .NET SDK.
- Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj odwołanie do pakietu do wersji załatanej. Listę zainstalowanych wersji można wyświetlić, uruchamiając polecenie
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub zestawu SDK należy ponownie uruchomić aplikacje, aby aktualizacja zaczęła obowiązywać.
Dodatkowo wdrożone aplikacje autonomiczne (self-contained)) korzystające z wersji objętych usterką również są podatne i wymagają ponownej kompilacji oraz ponownego wdrożenia.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem portalu dla badaczy MSRC.). Dalsze informacje można znaleźć w sekcji MSRC Report an Issue FAQ.).
Zgłoszenia bezpieczeństwa dokonywane za pośrednictwem MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły dotyczące programu Microsoft .NET Bounty, w tym regulamin, znajdują się pod adresem https://aka.ms/corebounty..
Wsparcie
Pytania dotyczące tego problemu można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. W repozytorium Announcements (https://github.com/dotnet/Announcements)) biuletyn ten zostanie opublikowany jako zgłoszenie (issue) wraz z linkiem do dyskusji, w której można zadawać pytania.
Zrzeczenie się odpowiedzialności
Informacje zawarte w tym komunikacie są dostarczane w stanie „takim, w jakim są” (as is), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody wtórne lub przypadkowe, w związku z czym powyższe ograniczenie może nie mieć zastosowania.
Linki zewnętrzne
Podziękowania
- Weeraphat Srisutham
- Ky0toFu (@ky0tofu)
- Leandro Batista
- Kevin Schmidt
- Attila.Cs (zerodaybugs.com)
- Stanley Tobias
- minhducnguyen03022002@gmail.com z Saigon Newport Corporation
Historia zmian
V1.0 (10/13/2026): Komunikat opublikowany.
Co trzeba zrobić
- Zainstaluj najnowszą wersję platformy .NET (w przypadku instalacji przez Visual Studio zaktualizuj program Visual Studio).
- Zaktualizuj odwołania do pakietów w aplikacjach do wersji załatanych. Zainstalowane wersje można sprawdzić za pomocą
dotnet --info.
Po instalacji zrestartuj aplikacje. Aplikacje autonomiczne (self-contained applications)) należy skompilować i wdrożyć ponownie.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.NETCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-59- Platforma
- .NET (NuGet)
- Paczka
Microsoft.NETCore.App.Runtime.linux-arm, Microsoft.NETCore.App.Runtime.linux-arm64, Microsoft.NETCore.App.Runtime.linux-musl-arm- Ujawniono
- 13.10.2026
- Aktualizacja
- 15.10.2026 08:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-w6wh-p4g7-mpj2 - CC BY 4.0
Historia podatności: Microsoft.NETCore.App.Runtime.linux-arm
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 35
- Pierwsza → ostatnia
- 09.2020 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Wysoka 22
- Średnia 12
- Niska 1
Ujawnienia w latach
- 2020: 1
- 2021: 0
- 2022: 6
- 2023: 5
- 2024: 4
- 2025: 5
- 2026: 14
-
Komunikat bezpieczeństwa firmy Microsoft CVE-2026-96225 — luka w zabezpieczeniach dotycząca podniesienia uprawnień w .NET i Visual Studio ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.