Ubuntu phát hành USN-8958-1 cho .NET: quản trị viên cần làm gì?

Đội vận hành vừa cập nhật .NET theo đợt vá trước chưa chắc đã hoàn tất. Ngày 29/10/2026, Ubuntu phát hành USN-8958-1 cho Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS và 26.10. Thông báo gồm ba vấn đề khác nhau, trong đó bản sửa Blazor WebAssembly trước đó được xác định là chưa đầy đủ.

Bài này dành cho quản trị VPS và đội phát triển ứng dụng .NET. Cần tách rõ runtime được cài từ kho Ubuntu, tarball Microsoft và package NuGet; mỗi đường phân phối có cách kiểm tra khác nhau.

Ba vấn đề trong USN-8958-1

Theo Ubuntu USN-8958-1, ngày đăng và ngày sự kiện công bố đều là 29/10/2026. Thông báo áp dụng cho các gói dotnet8, dotnet10 và dotnet11 tùy phiên bản Ubuntu.

• CVE-2026-102870: debug proxy của Blazor WebAssembly thoát ký tự chưa đúng, có thể dẫn tới thực thi mã tùy ý. Ubuntu cho biết bản sửa trong USN-8942-1 chưa hoàn chỉnh; lỗi này chỉ ảnh hưởng dotnet10 và dotnet11 trong phạm vi USN.
• CVE-2026-111497: thư viện giải nén Brotli trong .NET xử lý sai một số luồng nén; kẻ tấn công từ xa có thể gây từ chối dịch vụ hoặc thực thi mã.
• CVE-2026-114148: .NET xử lý quyền sở hữu tệp không đúng trong một số trường hợp, có thể cho phép leo thang đặc quyền cục bộ.

Bài riêng về CVE-2026-111497 trên Ubuntu đã phân tích lớp Brotli. Vì vậy, trọng tâm ở đây là bản sửa Blazor chưa đầy đủ và rủi ro quyền sở hữu tệp trong bản phân phối Linux.

Điều kiện rủi ro không giống nhau

Với CVE-2026-102870, advisory của Microsoft mô tả debug proxy tạo và biên dịch mã C# khi đánh giá biểu thức. Ứng dụng bị ảnh hưởng khi dùng package Blazor WebAssembly Server hoặc DevServer dễ tổn thương để debug và biểu thức chứa dữ liệu ứng dụng do kẻ tấn công kiểm soát.

Đây là lý do debug endpoint không nên xuất hiện trong hệ thống đang phục vụ khách hàng. Tắt debug proxy ở môi trường thật giúp giảm phơi nhiễm nhưng không thay thế cập nhật package và runtime.

Với CVE-2026-114148, Microsoft nêu rủi ro gắn với một số tarball Linux của ASP.NET Core và đầu vào source-build. Việc chỉ nhìn số phiên bản đang chạy chưa đủ để biết máy đã được cài từ archive nào và quyền sở hữu hiện tại ra sao.

Phiên bản Ubuntu đã vá cần đối chiếu

Các số trên là phiên bản gói tiêu biểu, không phải lệnh nâng cấp chung cho mọi máy. Mirror, kiến trúc CPU và kênh cập nhật có thể làm tên build khác nhau. Lệnh apt policy và USN chính thức là nguồn quyết định.

Checklist cập nhật cho VPS và container

1. Ghi nhận nguồn cài .NET: APT của Ubuntu, tarball Microsoft, container base image hay source-build.
2. Kiểm tra dotnet --info, apt policy dotnet8 dotnet10 dotnet11 và danh sách image đang dùng; không chỉ kiểm tra host.
3. Tìm cấu hình Blazor debug proxy và bảo đảm nó không được mở trong hệ thống đang phục vụ khách hàng.
4. Với gói Ubuntu, chạy cập nhật chuẩn trong cửa sổ bảo trì và xác nhận gói đạt phiên bản trong USN-8958-1.
5. Với tarball Linux, làm theo advisory Microsoft: cài bản đã sửa vào thư mục sạch, kiểm tra owner/group và xây lại image thay vì ghi đè tùy tiện.
6. Khởi động lại dịch vụ hoặc thay container để tiến trình nạp runtime mới; sau đó kiểm tra phiên bản thực tế của process.
7. Chạy smoke test cho đăng nhập, API, nén/giải nén, Blazor và tác vụ nền; theo dõi log lỗi sau bảo trì.

Mức độ và bằng chứng khai thác

Ubuntu mô tả khả năng thực thi mã tùy ý đối với Blazor và Brotli, cùng leo thang đặc quyền cục bộ đối với quyền sở hữu tệp, nhưng USN không gắn một điểm CVSS chung cho cả ba lỗi. Microsoft đánh giá CVE-2026-114148 ở mức cao 7,8/10 trong advisory riêng.

Các nguồn chính thức được đối chiếu không xác nhận khai thác thực tế cho ba CVE này. Tuy vậy, hệ thống có debug proxy mở, xử lý dữ liệu nén không tin cậy hoặc cài .NET từ tarball bằng quyền root nên được ưu tiên cao hơn.

Câu hỏi thường gặp

Nguồn tham khảo

Nguồn chính: Ubuntu USN-8958-1, ngày 29/10/2026; Microsoft .NET out-of-band update ngày 25/10/2026; advisory Microsoft cho CVE-2026-114148 và CVE-2026-102870.

Nếu bạn quản trị ứng dụng .NET trên VPS Ubuntu, hãy chuẩn bị phiên bản Ubuntu, kết quả dotnet --info, nguồn cài runtime và danh sách container trước khi liên hệ qua thuemaychu.vn. Mục tiêu là xác định đúng lớp cần cập nhật và giảm thời gian gián đoạn.