Ubuntu korrigiert Blazor-Debug-Proxy erneut und behebt Brotli-Lücke
Serguey Asael Shinder1 Min. LesezeitUbuntu veröffentlichte am 29. Oktober die Sicherheitsmeldung USN-8958-1 mit aktualisierten .NET-Paketen gegen drei Schwachstellen, von denen eine bereits Anfang des Monats behoben werden sollte.
Die erste, CVE-2026-102870, betrifft den Debug-Proxy von .NET Blazor WebAssembly, der bestimmte Werte nicht korrekt maskierte; laut Meldung könnte ein Angreifer darüber möglicherweise beliebigen Code ausführen. Ubuntu schreibt, die ursprünglich mit USN-8942-1 ausgelieferte Korrektur habe sich als unvollständig erwiesen. Betroffen waren hier nur dotnet10 und dotnet11.
Die zweite, CVE-2026-111497, betrifft die von .NET genutzte Brotli-Dekompressionsbibliothek, die bestimmte komprimierte Datenströme falsch verarbeitete; ein entfernter Angreifer könnte möglicherweise einen Dienstausfall verursachen oder beliebigen Code ausführen. Die dritte, CVE-2026-114148, entdeckte Alen Cheung: .NET behandelte den Dateibesitz unter bestimmten Umständen nicht korrekt, was eine lokale Rechteausweitung ermöglichen könnte.
Korrigiert sind dotnet8 8.0.33 unter Ubuntu 22.04 und 24.04, dotnet10 10.0.14 unter 24.04, 26.04 und 26.10 sowie dotnet11 11.0.0 Release Candidate 3 unter 26.10. Laut Ubuntu genügt ein normales Systemupdate.
Was das bedeutet
Zwei Punkte verlangen Handeln. Wer nach USN-8942-1 aktualisiert und das Problem im Blazor-Debug-Proxy für erledigt gehalten hat, sollte erneut aktualisieren. Und die Brotli-Lücke liegt in einem Dekompressionspfad, den Dienste nicht vertrauenswürdigen Eingaben aussetzen können, weshalb sie auf Servern Vorrang hat. Der Debug-Proxy ist eine Entwicklungskomponente; wie exponiert er ist, hängt davon ab, ob er außerhalb des Entwicklerrechners erreichbar ist. Schweregrade nennt die Meldung nicht.