Microsoft veröffentlicht Notfall-Patches für kritische Brotli-Schwachstelle in .NET

man walking on stairs — Proxyclick Visitor Management System / Unsplash

Microsoft hat ein außerplanmäßiges Sicherheitsupdate für .NET veröffentlicht, um eine kritische Schwachstelle im Brotli-Decoder zu beheben. Die Sicherheitslücke ist unter den Bezeichnungen Broccoli2Shell, Node2Shell oder HTTP2Shell bekannt.

Die unter der Kennung CVE-2026-111497 geführte Schwachstelle resultiert aus einem Out-of-Bounds-Schreibzugriff im Brotli-Decoder. Dieser Decoder ist für die Dekomprimierung von Daten zuständig, die den von Google entwickelten verlustfreien Kompressionsalgorithmus Brotli verwenden. Betroffen sind sowohl HTTP-Clients als auch Server sowie weitere Anwendungen und Werkzeuge, die die fehlerhafte Brotli-Implementierung nutzen.

Ein Angreifer ohne Berechtigungen kann einen speziell erstellten, mit Brotli komprimierten Datenstrom senden. Dies kann dazu führen, dass das System abstürzt oder Speicherlecks auftreten. In bestimmten Fällen ist es möglich, aus der Ferne Code auf Geräten auszuführen, die die betroffene Brotli-Binärdatei oder Bibliothek verwenden. Laut der Mitteilung von Microsoft können Angreifer die Lücke zudem nutzen, um auf Systemen mit installierter, nicht gepatchter .NET-Software und nicht standardmäßigen Konfigurationen ihre Berechtigungen aus der Ferne zu erhöhen.

Das .NET-Team erläutert, dass Anwendungen betroffen sein können, die Brotli-Daten über die ASP.NET Core Request-Dekomprimierung, die automatische Response-Dekomprimierung des HttpClient oder die System.IO.Compression Brotli API verarbeiten. Die Brotli-Dekomprimierung ist in neu installierten Versionen von .NET oder ASP.NET Core nicht standardmäßig aktiviert. Anwendungen müssen die Request-Dekomprimierung in ASP.NET Core oder die Response-Dekomprimierung im HttpClient explizit aktivieren oder die Brotli-Dekomprimierungs-API von .NET direkt aufrufen.

Microsoft stellt die außerplanmäßigen Updates für .NET 8.NET 9.NET 10 sowie für den Release Candidate 3 von .NET 11 bereit. Die korrigierten Versionen sind .NET 8.0.33.NET 9.0.22 und .NET 10.0.14 sowie der Release Candidate 3 für .NET 11.

Obwohl ein Proof-of-Concept-Exploit für Broccoli2Shell auf GitHub veröffentlicht wurde, gibt es bislang keine Berichte über tatsächliche Angriffe. Eine spezialisierte Webseite zur Beobachtung dieser Schwachstelle warnt jedoch, dass die Aktualisierung der System-Brotli-Bibliothek das Risiko in Anwendungen nicht behebt, die ihre eigene Brotli-Bibliothek integriert haben. Organisationen, die keine sofortigen Updates durchführen können, wird empfohlen, Brotli-komprimierte Anfragen über einen Proxy oder eine Firewall zu blockieren oder die Brotli-Dekodierung vorübergehend zu deaktivieren.