KB5077862 — Mise à jour de sécurité pour le Framework .NET 10.0

Aperçu

KB5077862 est une mise à jour de sécurité critique pour le Framework .NET 10.0 publiée le 10 février 2026. Cette mise à jour corrige plusieurs vulnérabilités de haute gravité affectant les applications fonctionnant sur les plateformes Windows, macOS et Linux. La mise à jour fait partie du cycle régulier de mises à jour de sécurité de Microsoft et inclut des correctifs pour les vulnérabilités d'exécution de code à distance, de déni de service et de divulgation d'informations.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout trois vulnérabilités de sécurité critiques :

CVE-2026-0847 : Exécution de code à distance dans .NET Runtime

Une vulnérabilité critique dans le processus de désérialisation du runtime .NET pourrait permettre aux attaquants d'exécuter du code arbitraire en envoyant des données sérialisées malveillantes aux applications. Cela affecte les applications utilisant les classes BinaryFormatter, NetDataContractSerializer ou SoapFormatter. La vulnérabilité a un score CVSS de 9.8 et nécessite un correctif immédiat.

CVE-2026-0848 : Déni de service dans ASP.NET Core

Une vulnérabilité de haute gravité dans le pipeline de traitement des requêtes d'ASP.NET Core pourrait permettre aux attaquants de provoquer des plantages d'applications et une indisponibilité du service. Des acteurs malveillants pourraient envoyer des requêtes HTTP spécialement conçues qui consomment des ressources mémoire et CPU excessives, entraînant des conditions de déni de service. Cela affecte les applications web et les API construites avec ASP.NET Core.

CVE-2026-0849 : Divulgation d'informations dans Entity Framework Core

Une vulnérabilité de gravité moyenne dans Entity Framework Core pourrait exposer des informations sensibles de la base de données via des messages d'erreur. Dans certaines conditions, des messages d'erreur détaillés pourraient révéler des détails de schéma de base de données, des chaînes de connexion ou d'autres données de configuration sensibles à des utilisateurs non autorisés.

Systèmes et versions affectés

Cette mise à jour de sécurité s'applique aux systèmes exécutant .NET 10.0 sur plusieurs plateformes :

Détails techniques

Améliorations de la sécurité du runtime

La mise à jour implémente plusieurs améliorations de sécurité dans le runtime .NET :

• Validation de type améliorée : Une vérification de type plus stricte lors de la désérialisation empêche les attaques de substitution de type malveillant
• Sécurité de la mémoire : Une vérification des limites améliorée empêche les conditions de débordement de tampon
• Mises à jour cryptographiques : Bibliothèques cryptographiques mises à jour avec des algorithmes plus forts et des atténuations des attaques par chronométrage

Améliorations d'ASP.NET Core

Principales améliorations de sécurité dans ASP.NET Core :

• Validation des requêtes : Analyse des requêtes HTTP améliorée avec des limites de taille et validation
• Gestion des ressources : Gestion de la mémoire améliorée pour le traitement des grandes requêtes
• Limitation du débit : Protection intégrée contre les attaques de saturation de requêtes

Mises à jour d'Entity Framework Core

Améliorations de la sécurité dans Entity Framework Core :

• Sanitisation des erreurs : Les messages d'erreur en production n'exposent plus d'informations sensibles de la base de données
• Sécurité des connexions : Protection améliorée des chaînes de connexion dans les traces d'erreur
• Sécurité des requêtes : Validation des paramètres améliorée empêche les tentatives d'injection SQL

Installation et déploiement

Mises à jour automatiques

Pour les systèmes Windows, KB5077862 est livré automatiquement via Windows Update à partir du 12 février 2026. Les environnements d'entreprise utilisant WSUS ou Microsoft System Center Configuration Manager (SCCM) peuvent déployer la mise à jour à partir du 11 février 2026.

Installation manuelle

Les développeurs et les administrateurs système peuvent installer manuellement la mise à jour en utilisant plusieurs méthodes :

Installation via .NET CLI

# Mettre à jour le runtime .NET
dotnet --version

# Installer une version spécifique
dotnet install --version 10.0.3

Installation via gestionnaire de paquets

Ubuntu/Debian :

sudo apt update
sudo apt install dotnet-runtime-10.0

RHEL/CentOS :

sudo yum update dotnet-runtime-10.0

macOS (Homebrew) :

brew update
brew upgrade dotnet

Déploiement en entreprise

Les environnements d'entreprise doivent tester la mise à jour dans les environnements de développement et de préproduction avant le déploiement en production. La mise à jour est compatible avec les pipelines de déploiement existants et les images de conteneurs.

Vérification post-installation

Après avoir installé KB5077862, vérifiez la mise à jour en utilisant ces commandes :

# Vérifier les versions .NET installées
dotnet --list-runtimes

# Vérifier la version spécifique du runtime
dotnet --version

# Vérifier les mises à jour de sécurité
dotnet --info

La sortie devrait afficher Microsoft.NETCore.App 10.0.3 ou une version ultérieure, indiquant une installation réussie de la mise à jour de sécurité.

Évaluation de l'impact

Impact sur la sécurité

Les organisations doivent prioriser cette mise à jour en raison de la nature critique des vulnérabilités corrigées. La vulnérabilité d'exécution de code à distance (CVE-2026-0847) présente le risque le plus élevé et pourrait conduire à une compromission complète du système si elle est exploitée.

Considérations de performance

Les améliorations de sécurité peuvent introduire une surcharge de performance minimale :

• Opérations de désérialisation : diminution de performance de 5-10%
• Traitement des requêtes ASP.NET Core : latence supplémentaire de 1-2ms
• Requêtes Entity Framework : impact négligeable dans la plupart des scénarios

Évaluation de la compatibilité

La plupart des applications connaîtront une compatibilité sans faille avec KB5077862. Cependant, les applications utilisant des méthodes de sérialisation obsolètes peuvent nécessiter des modifications de code ou des changements de configuration.