Microsoft ने .NET के Brotli डिकोडर में गंभीर सुरक्षा खामी को ठीक करने के लिए आपातकालीन पैच जारी किए

The illuminated skyline of Los Angeles at night under a deep blue sky — Henning Witzel / Unsplash

Microsoft ने .NET के लिए एक आउट-ऑफ-बैंड सुरक्षा अपडेट जारी किया है ताकि Brotli डिकोडर में मौजूद एक गंभीर खामी को ठीक किया जा सके। इस सुरक्षा समस्या को Broccoli2Shell, Node2Shell या HTTP2Shell के नाम से जाना जाता है।

इस खामी को CVE-2026-111497 के रूप में पहचाना गया है। यह समस्या Brotli डिकोडर में आउट-ऑफ-बाउंड्स राइट के कारण उत्पन्न हुई है। Brotli, Google द्वारा विकसित एक लॉसलेस डेटा संपीड़न एल्गोरिदम है जिसका व्यापक रूप से उपयोग किया जाता है। यह खामी HTTP क्लाइंट, सर्वर और उन अन्य अनुप्रयोगों या उपकरणों को प्रभावित करती है जो प्रभावित Brotli कार्यान्वयन का उपयोग करते हैं।

बिना किसी विशेष अधिकार वाले हमलावर विशेष रूप से तैयार की गई Brotli-संपीड़ित स्ट्रीम भेज सकते हैं। इससे सिस्टम क्रैश हो सकता है, मेमोरी लीक हो सकती है, या कुछ मामलों में प्रभावित बाइनरी या लाइब्रेरी वाले उपकरणों पर रिमोट कोड निष्पादन संभव हो सकता है। Microsoft की सलाह के अनुसार, हमलावर उन प्रणालियों पर रिमोट विशेषाधिकार वृद्धि का उपयोग भी कर सकते हैं जिनमें .NET स्थापित है, पैच नहीं लगाया गया है और जो गैर-डिफ़ॉल्ट कॉन्फ़िगरेशन का उपयोग कर रहे हैं।

प्रभावित अनुप्रयोगों में वे शामिल हैं जो ASP.NET Core अनुरोध डीकंप्रेशन, HttpClient स्वचालित प्रतिक्रिया डीकंप्रेशन या System.IO.Compression Brotli API के माध्यम से Brotli डेटा को संसाधित करते हैं। हालांकि, नए स्थापित .NET या ASP.NET Core में Brotli डीकंप्रेशन डिफ़ॉल्ट रूप से सक्षम नहीं होता है। अनुप्रयोगों को स्वयं ASP.NET Core अनुरोध डीकंप्रेशन या HttpClient प्रतिक्रिया डीकंप्रेशन को सक्षम करना होता है, या सीधे .NET के Brotli डीकंप्रेशन API को कॉल करना होता है।

Microsoft ने .NET 8.NET 9.NET 10 और .NET 11 रिलीज़ कैंडिडेट 3 के लिए अपडेट जारी किए हैं। संशोधित संस्करणों में .NET 8 के लिए 8.0.33.NET 9 के लिए 9.0.22.NET 10 के लिए 10.0.14 और .NET 11 के लिए रिलीज़ कैंडिडेट 3 शामिल हैं।

यद्यपि GitHub पर Broccoli2Shell का एक प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट प्रकाशित हो चुका है, लेकिन वास्तविक हमलों की कोई रिपोर्ट नहीं मिली है। विशेषज्ञों ने चेतावनी दी है कि सिस्टम की Brotli लाइब्रेरी को अपडेट करने से उन अनुप्रयोगों का जोखिम खत्म नहीं होता जो अपनी स्वयं की Brotli लाइब्रेरी को बंडल करते हैं। जो संगठन तुरंत अपडेट नहीं कर सकते, उन्हें प्रॉक्सी या फ़ायरवॉल के माध्यम से Brotli-संपीड़ित अनुरोधों को ब्लॉक करने या पैच लगाने तक Brotli डिकोडिंग को अस्थायी रूप से बंद करने की सलाह दी गई है।