Microsoft Merilis Pembaruan Darurat untuk Mengatasi Celah Keamanan Kritis pada Dekoder Brotli di .NET

Long exposure light trails on a highway before the illuminated New York City skyline — Zac Ong / Unsplash

Microsoft telah merilis pembaruan keamanan di luar jadwal untuk .NET guna memperbaiki celah keamanan tingkat kritis pada dekoder Brotli. Celah ini dikenal dengan nama Broccoli2Shell, Node2Shell, atau HTTP2Shell.

Masalah keamanan yang diidentifikasi sebagai CVE-2026-111497 ini disebabkan oleh penulisan di luar batas pada dekoder Brotli. Komponen tersebut berfungsi untuk mendekompresi data yang menggunakan algoritma kompresi tanpa kehilangan data milik Google yang digunakan secara luas. Celah ini berdampak pada klien dan server HTTP, serta aplikasi dan alat lain yang menggunakan implementasi Brotli yang rentan.

Penyerang tanpa hak akses dapat mengirimkan aliran terkompresi Brotli yang dibuat secara khusus untuk menyebabkan sistem mengalami kegagalan atau kebocoran memori. Dalam beberapa kasus, penyerang mungkin dapat menjalankan kode dari jarak jauh pada perangkat yang menggunakan pustaka atau biner Brotli yang rentan. Menurut pemberitahuan dari Microsoft, penyerang juga dapat menggunakan celah ini untuk melakukan peningkatan hak akses dari jarak jauh pada sistem yang menginstal .NET tanpa pembaruan dan menggunakan konfigurasi yang bukan merupakan pengaturan standar.

Tim .NET menjelaskan bahwa aplikasi yang mungkin terdampak adalah aplikasi yang memproses data Brotli melalui dekompresi permintaan ASP.NET Core, dekompresi respons otomatis HttpClient, atau API Brotli System.IO.Compression. Namun, dekompresi Brotli tidak diaktifkan secara standar pada instalasi baru .NET atau ASP.NET Core. Aplikasi harus mengaktifkan dekompresi permintaan ASP.NET Core atau dekompresi respons HttpClient secara manual, atau memanggil API dekompresi Brotli .NET secara langsung.

Microsoft menyediakan pembaruan untuk .NET 8.NET 9.NET 10, dan .NET 11 Release Candidate 3. Versi yang telah diperbaiki meliputi .NET 8 versi 8.0.33.NET 9 versi 9.0.22.NET 10 versi 10.0.14, dan .NET 11 Release Candidate 3.

Meskipun bukti konsep eksploitasi Broccoli2Shell telah dipublikasikan di GitHub, belum ada laporan mengenai serangan nyata. Sebuah situs web yang memantau celah ini memperingatkan bahwa memperbarui pustaka Brotli sistem tidak akan menghilangkan risiko pada aplikasi yang menyertakan pustaka Brotli mereka sendiri. Bagi organisasi yang belum dapat melakukan pembaruan segera, disarankan untuk memblokir permintaan yang dikompresi dengan Brotli melalui proksi atau tembok api, atau menonaktifkan dekoding Brotli untuk sementara hingga pembaruan dapat dipasang.