Microsoft lança atualizações de emergência para corrigir falha crítica no decodificador Brotli do .NET

black floor lamp on living room sofa — Toa Heftiba / Unsplash

A Microsoft lançou atualizações de segurança fora de banda para o .NET para corrigir uma vulnerabilidade de nível crítico no decodificador Brotli. A falha, identificada como CVE-2026-111497, é conhecida pelos nomes Broccoli2Shell, Node2Shell ou HTTP2Shell.

A vulnerabilidade é causada por uma gravação fora dos limites no decodificador Brotli, que é responsável por descompactar dados que utilizam o algoritmo de compressão sem perdas da Google. O problema afeta tanto clientes quanto servidores HTTP, além de outras ferramentas e aplicações que utilizam a implementação vulnerável do Brotli.

Atacantes sem privilégios podem enviar um fluxo compactado por Brotli criado especificamente para causar a queda do sistema ou vazamento de memória. Em certos casos, a falha pode permitir a execução remota de código em dispositivos que utilizam a biblioteca ou o binário do Brotli afetados. De acordo com o aviso da Microsoft, a vulnerabilidade também pode ser usada para a escalação de privilégios remota em sistemas com .NET não atualizados que utilizem configurações diferentes das padrões.

Aplicações que processam dados Brotli por meio da descompressão de solicitações do ASP.NET Core, da descompressão automática de respostas do HttpClient ou da API System.IO.Compression Brotli podem estar em risco. A descompressão Brotli não vem ativada por padrão em instalações novas do .NET ou ASP.NET Core, exigindo que as aplicações ativem essas funções manualmente ou chamem a API de descompressão diretamente.

As atualizações foram disponibilizadas para as versões .NET 8.NET 9.NET 10 e para o .NET 11 Release Candidate 3. As versões corrigidas são a 8.0.33 para o .NET 8, a 9.0.22 para o .NET 9, a 10.0.14 para o .NET 10 e o Release Candidate 3 para o .NET 11.

Embora exista uma prova de conceito para a exploração do Broccoli2Shell publicada no GitHub, não há relatos de ataques reais. Um site que monitora a falha alertou que a atualização da biblioteca Brotli do sistema não resolve o risco em aplicações que incluem sua própria biblioteca Brotli embutida. Para organizações que não podem atualizar imediatamente, a recomendação é bloquear solicitações compactadas com Brotli via firewall ou proxy, ou desativar a decodificação do Brotli temporariamente.