Microsoft rilascia aggiornamenti di emergenza per vulnerabilità critica in Brotli decoder su .NET

man in blue dress shirt sitting on rolling chair inside room with monitors — Austin Distel / Unsplash

Microsoft ha pubblicato un aggiornamento di sicurezza fuori banda per .NET per risolvere una vulnerabilità di livello critico nel decoder Brotli, identificata come CVE-2026-111497. Il problema, noto anche con i nomi di Broccoli2Shell, Node2Shell o HTTP2Shell, riguarda le versioni di .NET che vanno dalla 8 alla 11.

La falla deriva da una scrittura fuori dai limiti nel decoder Brotli, che è responsabile della decompressione dei dati che utilizzano l'algoritmo di compressione senza perdita di dati di Google. Questa vulnerabilità influisce sia sui client che sui server HTTP, oltre che su altre applicazioni e strumenti che utilizzano l'implementazione di Brotli interessata.

Un utente malintenzionato senza privilegi potrebbe inviare un flusso compresso Brotli creato appositamente per causare il crash del sistema o una perdita di memoria. In determinati scenari, l'attacco potrebbe consentire l'esecuzione remota di codice sui dispositivi che utilizzano la libreria o il binario Brotli vulnerabile. Secondo l'avviso di Microsoft, gli aggressori potrebbero inoltre utilizzare questa falla per ottenere un'escalation dei privilegi da remoto su sistemi con .NET non aggiornati che utilizzano configurazioni diverse da quelle predefinite.

Le applicazioni potenzialmente a rischio sono quelle che elaborano dati Brotli tramite la decompressione delle richieste di ASP.NET Core, la decompressione automatica delle risposte di HttpClient o l'interfaccia di programmazione delle applicazioni System.IO.Compression Brotli. Tuttavia, la decompressione Brotli non è abilitata per impostazione predefinita nelle installazioni nuove di .NET o ASP.NET Core, richiedendo l'attivazione manuale o l'uso diretto delle interfacce di programmazione di .NET.

Microsoft ha rilasciato aggiornamenti per diverse versioni: .NET 8 è stato aggiornato alla versione 8.0.33.NET 9 alla 9.0.22.NET 10 alla 10.0.14 e .NET 11 alla Release Candidate 3. Sebbene sia stata pubblicata su GitHub una prova di concetto per lo sfruttamento di Broccoli2Shell, non sono stati segnalati attacchi reali.

Alcuni esperti avvertono che l'aggiornamento della libreria Brotli di sistema potrebbe non eliminare i rischi per le applicazioni che includono la propria libreria Brotli integrata. Per le organizzazioni che non possono aggiornare immediatamente, viene consigliato di bloccare le richieste compresse con Brotli tramite firewall o proxy, oppure di disabilitare temporaneamente la decodifica Brotli.