Microsoft a publié des correctifs de sécurité exceptionnels pour son environnement .NET. Ils corrigent une vulnérabilité affectant Brotli, un algorithme de compression utilisé par certaines applications pour réduire le volume des données échangées. Selon les conditions d’exploitation, la faille peut exposer des logiciels à des attaques à distance.
Une exposition liée au traitement des données compressées
Le risque ne concerne pas indistinctement tous les projets .NET. Il dépend de la manière dont une application utilise les fonctions de décompression Brotli et de la possibilité, pour un attaquant, de fournir les données traitées par le logiciel.
Certains serveurs ASP.NET Core peuvent décompresser les requêtes reçues. Des programmes s’appuyant sur HttpClient peuvent également gérer automatiquement des réponses compressées. D’autres applications font appel directement aux fonctions Brotli intégrées à .NET.
- La décompression des requêtes dans ASP.NET Core doit avoir été activée pour que les configurations concernées soient exposées.
- Les applications utilisant HttpClient peuvent traiter automatiquement des réponses compressées.
- L’ancien environnement .NET Framework n’est pas affecté par cette vulnérabilité.
Les versions corrigées
Microsoft a mis à disposition plusieurs versions comprenant le correctif. Les équipes qui administrent des services .NET doivent installer la version correspondant à leur environnement, puis redémarrer les applications concernées.
| Environnement | Version publiée |
|---|---|
| .NET | 8.0.33 |
| .NET | 9.0.22 |
| .NET | 10.0.14 |
| .NET 11 | Troisième Release Candidate |
Un redéploiement nécessaire dans certains cas
La mise à jour ne se limite pas à l’installation du paquet lorsque l’application embarque son propre environnement .NET. Dans cette configuration, les développeurs doivent aussi recompiler et redéployer le logiciel afin d’intégrer la version corrigée.
Les administrateurs qui ne peuvent pas appliquer immédiatement les correctifs peuvent, en mesure temporaire, désactiver la décompression Brotli pour les données provenant de sources non fiables. Cette solution concerne les applications exposées au traitement de données contrôlées par un tiers et ne remplace pas l’installation des versions corrigées.
