Beveiliging · 29 oktober 2026
Microsoft brengt noodupdates uit voor kritieke fout in Brotli decoder binnen .NET
Microsoft heeft een beveiligingsupdate buiten de normale cyclus uitgebracht voor .NET om een kritieke kwetsbaarheid in de Brotli decoder te verhelpen. Deze fout staat bekend onder de namen Broccoli2Shell, Node2Shell of HTTP2Shell.
De kwetsbaarheid, aangeduid als CVE-2026-111497, wordt veroorzaakt door een out-of-bounds write in de Brotli decoder. Deze decoder is verantwoordelijk voor het uitpakken van gegevens die gebruikmaken van het Brotli compressiealgoritme van Google, wat een vorm van verliesvrije gegevenscompressie is.
De fout beïnvloedt zowel HTTP clients als servers, evenals andere applicaties en hulpmiddelen die de kwetsbare implementatie van Brotli gebruiken. Een aanvaller zonder speciale rechten kan een specifiek samengestelde Brotli-gecomprimeerde stroom verzenden. Dit kan leiden tot een systeemcrash, een geheugenlek of in sommige gevallen het op afstand uitvoeren van code op apparaten die de kwetsbare binaire bestanden of bibliotheken van Brotli gebruiken.
Volgens de waarschuwing van Microsoft kunnen aanvallers deze fout ook gebruiken voor het op afstand verhogen van rechten op systemen waar .NET is geïnstalleerd zonder de update en waar niet-standaardinstellingen worden gebruikt. Applicaties die mogelijk worden beïnvloed zijn programma's die Brotli-gegevens verwerken via ASP.NET Core request decompressie, automatische respons decompressie van HttpClient of de System.IO.Compression Brotli API.
Brotli decompressie is standaard niet ingeschakeld in nieuwe installaties van .NET of ASP.NET Core. Gebruikers moeten zelf de decompressie voor ASP.NET Core requests of HttpClient responses inschakelen, of direct de Brotli decompressie API van .NET aanroepen.
Microsoft heeft updates uitgebracht voor .NET 8.NET 9.NET 10 en .NET 11 Release Candidate 3. De gecorrigeerde versies zijn .NET 8 versie 8.0.33.NET 9 versie 9.0.22.NET 10 versie 10.0.14 en .NET 11 Release Candidate 3.
Hoewel er een bewijs van concept exploit voor Broccoli2Shell op GitHub is gepubliceerd, zijn er nog geen meldingen van daadwerkelijke aanvallen. Een website die deze kwetsbaarheid volgt, waarschuwt dat het bijwerken van de systeembibliotheek van Brotli het risico niet wegneemt voor applicaties die hun eigen Brotli bibliotheek hebben gebundeld.
Voor organisaties die niet direct kunnen bijwerken, wordt geadviseerd om verzoeken die met Brotli zijn gecomprimeerd te blokkeren via een proxy of firewall, of om de Brotli decoding tijdelijk uit te schakelen tot de patches zijn geïnstalleerd.