Microsoft שחררה עדכון אבטחה דחוף לתיקון פרצת אבטחה קריטית במפענח Brotli בגרסאות .NET

white security camera on post — Pawel Czerwinski / Unsplash

חברת Microsoft שחררה עדכון אבטחה מחוץ למסלול הרגיל עבור .NET כדי לתקן פרצת אבטחה ברמה קריטית במפענח Brotli. הפרצה, המוכרת בשמות Broccoli2Shell, Node2Shell או HTTP2Shell, מזוהה תחת המספר CVE-2026-111497.

הליקוי נובע מכתיבה מחוץ לגבולות הזיכרון במפענח Brotli, שתפקידו לפתוח דחיסת נתונים המשתמשת באלגוריתם דחיסה ללא איבוד נתונים של Google. הפרצה משפיעה על לקוחות ושרתי HTTP, וכן על אפליקציות וכלים אחרים המשתמשים במימוש הפגום של Brotli.

תוקף ללא הרשאות יכול לשלוח זרם נתונים דחוס ב-Brotli שנוצר במיוחד כדי לגרום לקריסת מערכת או לדליפת זיכרון. במקרים מסוימים, הדבר עשוי לאפשר הרצת קוד מרחוק על מכשירים המשתמשים בספריה או בקובץ הבינארי הפגום של Brotli. לפי הודעת Microsoft, תוקפים יכולים להשתמש בפרצה זו גם כדי לבצע העלאת הרשאות מרחוק במערכות המותקנות עם .NET שטרם עודכנו ומשתמשות בהגדרות שאינן הגדרות ברירת המחדל.

צוות .NET הסביר כי האפליקציות שעלולות להיות מושפעות הן כאלו המעבדות נתונים של Brotli באמצעות פתיחת דחיסת בקשות ב-ASP.NET Core, פתיחת דחיסת תגובות אוטומטית ב-HttpClient, או באמצעות ממשק התכנות System.IO.Compression Brotli API. עם זאת, פתיחת דחיסת Brotli אינה מופעלת כברירת מחדל בהתקנות חדשות של .NET או ASP.NET Core, והאפליקציות צריכות להפעיל זאת באופן ידני או לקרוא לממשק התכנות ישירות.

העדכון שוחרר עבור גרסאות .NET 8.NET 9.NET 10 וכן עבור .NET 11 Release Candidate 3. הגרסאות המתוקנות הן 8.0.33 עבור .NET 8, 9.0.22 עבור .NET 9, 10.0.14 עבור .NET 10, ו-Release Candidate 3 עבור .NET 11.

למרות שפורסם הוכחת היתכנות לניצול הפרצה ב-GitHub, לא דווחו תקיפות בפועל. אתר העוקב אחר הפרצה הזהיר כי עדכון ספריות Brotli של המערכת אינו פותר את הסיכון באפליקציות שכוללות בתוכן ספריות Brotli משלהן. ארגונים שאינם יכולים לעדכן באופן מיידי מומלצים לחסום בקשות דחוסות ב-Brotli באמצעות שרת פרוקסי או חומת אש, או להשבית זמנית את פענוח ה-Brotli עד להתקנת העדכון.