Sécurité · 29 octobre 2026
Également publié en 日本語, हिन्दी, Indonesia, Nederlands, العربية, Español, Русский, Deutsch, Português (Brasil), Italiano, Svenska, עברית, English
Microsoft publie des correctifs d'urgence pour une faille critique dans le décodeur Brotli de .NET
Microsoft a publié une mise à jour de sécurité hors bande pour .NET afin de corriger une vulnérabilité critique dans le décodeur Brotli. Cette faille est connue sous les noms de Broccoli2Shell, Node2Shell ou HTTP2Shell.
La vulnérabilité, identifiée sous le numéro CVE-2026-111497, provient d'une écriture hors limites dans le décodeur Brotli. Ce composant est chargé de décompresser les données utilisant l'algorithme de compression sans perte de Google. Le problème affecte les clients et les serveurs HTTP, ainsi que d'autres outils et applications utilisant l'implémentation Brotli vulnérable.
Un attaquant sans privilèges peut envoyer un flux compressé Brotli spécifiquement conçu pour provoquer le plantage du système ou une fuite de mémoire. Dans certains cas, cela peut permettre l'exécution de code à distance sur les appareils utilisant la bibliothèque ou le binaire Brotli concerné. Selon l'avis de Microsoft, un attaquant peut également utiliser cette faille pour effectuer une élévation de privilèges à distance sur les systèmes .NET non corrigés utilisant des configurations non par défaut.
Les applications potentiellement touchées sont celles qui traitent des données Brotli via la décompression des requêtes ASP.NET Core, la décompression automatique des réponses HttpClient ou l'API System.IO.Compression Brotli. La décompression Brotli n'est pas activée par défaut dans les installations neuves de .NET ou ASP.NET Core. Les applications doivent activer manuellement la décompression des requêtes ASP.NET Core, la décompression des réponses HttpClient ou appeler directement l'API de décompression Brotli de .NET.
Microsoft a déployé des mises à jour pour .NET 8.NET 9.NET 10 et .NET 11 Release Candidate 3. Les versions corrigées sont .NET 8.0.33.NET 9.0.22.NET 10.0.14 et .NET 11 Release Candidate 3.
Bien qu'une preuve de concept de l'exploitation de Broccoli2Shell ait été publiée sur GitHub, aucune attaque réelle n'a été signalée. Un site spécialisé dans le suivi de cette faille avertit que la mise à jour de la bibliothèque Brotli du système ne résout pas les risques pour les applications qui intègrent leur propre bibliothèque Brotli.
Pour les organisations ne pouvant pas mettre à jour immédiatement, il est recommandé de bloquer les requêtes compressées avec Brotli via un pare-feu ou un proxy, ou de désactiver temporairement le décodage Brotli jusqu'à l'installation des correctifs.