何が起きたか
.NET が使う Brotli の展開ライブラリにバッファオーバーフローがあり、認証不要の攻撃者が細工した Brotli データを送ることで、プロセスのメモリの読み取りや破壊（情報漏えい、サービス停止、権限昇格）につながるおそれがあります。ASP.NET Core と HttpClient は既定では Brotli を自動展開しないため、リクエスト展開で br を有効にしている、HttpClient の AutomaticDecompression に Brotli を含めている、BrotliStream や BrotliDecoder で外部のデータを展開している、のいずれかの場合に影響します。.NET Framework は影響を受けません。
やること
.NET 8 は 8.0.33、.NET 9 は 9.0.22、.NET 10 は 10.0.14 以降のランタイム・SDK に更新し、アプリを再ビルド・再配置してください（NativeAOT や自己完結型の配布も対象です）。すぐに更新できない場合は、AddRequestDecompression の設定から br を外す、HttpClient の AutomaticDecompression から Brotli を外す、信頼できない Brotli データを展開しない、のいずれかで回避してください。もともと展開を使っていないアプリに、新たにこれらの設定を追加する必要はありません。
出典
.NET のセキュリティ勧告github.com英語 ↗.NET のアナウンスgithub.com英語 ↗GitHub Advisory Databasegithub.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。