Microsoft utgir nødoppdatering for kritisk sårbarhet i Brotli-dekoder

Erik Mclean / Unsplash

Microsoft har utgitt en sikkerhetsoppdatering utenfor den vanlige syklusen for .NET for å rette en kritisk sårbarhet i Brotli-dekoderen. Sårbarheten er kjent under navnene Broccoli2Shell, Node2Shell eller HTTP2Shell.

Sikkerhetshullet, som har fått identifikatoren CVE-2026-111497, skyldes en skriving utenfor grensene i Brotli-dekoderen. Denne dekoderen håndterer dekomprimering av data som bruker Google sin tapsfrie komprimeringsalgoritme, Brotli. Problemet påvirker både HTTP-klienter og servere, i tillegg til andre verktøy og applikasjoner som benytter den sårbare implementeringen av Brotli.

En angriper uten rettigheter kan sende en spesiallaget Brotli-komprimert strøm for å forårsake systemkrasj eller minnelekkasjer. I visse tilfeller kan dette føre til fjernkjøring av kode på enheter som bruker det sårbare biblioteket eller binærfilen. Microsoft opplyser at angripere også kan bruke sårbarheten til å oppnå rettighetseskalering fra fjernhold på systemer med .NET som ikke er oppdatert og som bruker konfigurasjoner som avviker fra standardinnstillingene.

Applikasjoner som kan være berørt er de som behandler Brotli-data via automatisk dekomprimering av svar i HttpClient, dekomprimering av forespørsler i ASP.NET Core, eller direkte via System.IO.Compression Brotli API. Det presiseres at Brotli-dekomprimering ikke er aktivert som standard i nye installasjoner av .NET eller ASP.NET Core, og må aktiveres manuelt av applikasjonen.

Oppdateringene er utgitt for .NET 8.NET 9.NET 10 og .NET 11 Release Candidate 3. De rettede versjonene er henholdsvis 8.0.33, 9.0.22, 10.0.14 og Release Candidate 3 for .NET 11. Microsoft anbefaler at brukere oppdaterer så raskt som mulig.

Selv om det finnes en bevisføring for konseptet for utnyttelse av Broccoli2Shell på GitHub, er det foreløpig ingen rapporter om faktiske angrep. Det advares imidlertid om at oppdatering av systemets Brotli-bibliotek ikke fjerner risikoen i applikasjoner som har inkludert sitt eget eget bibliotek. For organisasjoner som ikke kan oppdatere umiddelbart, anbefales det å blokkere Brotli-komprimerte forespørsler via brannmur eller proxy, eller å deaktivere Brotli-dekoding midlertidig.