Microsoft udsendte akutte sikkerhedsopdateringer den 26. oktober for at rette den kritiske .NET Brotli-sårbarhed. Sårbarheden truer applikationer, der behandler særligt udformede Brotli-komprimerede data, og kan potentielt forårsage nedbrud, hukommelseslækager eller fjernudførelse af kode.
Problemet spores som CVE-2026-111497 og er også kendt under navnene Broccoli2Shell, Node2Shell og HTTP2Shell. Eksponeringen afhænger dog af applikationernes indstillinger, da standardinstallationer af .NET og ASP.NET Core ikke automatisk aktiverer Brotli-dekomprimering.
Hvordan .NET Brotli-sårbarheden påvirker applikationer
Sårbarheden involverer en skriveoperation uden for hukommelsesgrænserne i Brotli-dekoderen, som udpakker data komprimeret med Googles tabsfri komprimeringsalgoritme. Angribere kan udnytte denne fejl i hukommelseshåndteringen ved at sende en skadelig komprimeret datastrøm til sårbar software.
Derfor rækker problemet ud over individuelle websteder eller tjenester. HTTP-klienter, servere og andre applikationer kan blive eksponeret, når de anvender berørte Brotli-implementeringer.
Vellykkede angreb kan få software til at bryde ned eller lække hukommelsesindhold. I nogle tilfælde kan angribere også udføre kode på afstand. Derudover advarer Microsoft om mulig fjernbaseret privilegieeskalering i .NET-installationer, der ikke er opdateret, og som anvender andre konfigurationer end standardindstillingerne.
Applikationer kan støde på den sårbare funktionalitet gennem dekomprimering af anmodninger i ASP.NET Core, automatisk dekomprimering af svar i HttpClient eller Brotli-API’erne i System.IO.Compression. Udviklere skal dog udtrykkeligt aktivere disse funktioner eller selv kalde API’erne.
Microsoft udsender rettelser til fire .NET-versioner
Microsoft har udsendt sikkerhedsopdateringer uden for den normale opdateringsplan til .NET 8, .NET 9 og .NET 10. Samtidig indeholder .NET 11 Release Candidate 3 den tilsvarende rettelse til denne udviklingsversion.
Følgende opdateringer retter sårbarheden:
| .NET-version | Rettet version |
|---|---|
| .NET 8 | 8.0.33 |
| .NET 9 | 9.0.22 |
| .NET 10 | 10.0.14 |
| .NET 11 | Release Candidate 3 |
Microsoft opfordrer brugerne til at installere opdateringerne hurtigst muligt. Administratorer bør derfor identificere applikationer, der dekomprimerer indgående anmodninger, automatisk dekoder HTTP-svar eller behandler Brotli-data direkte.
Offentlig exploitkode øger behovet for hurtige opdateringer
Proof-of-concept-eksploits er allerede dukket op på GitHub, hvilket øger behovet for hurtigt at rette .NET Brotli-sårbarheden. Ikke desto mindre var der på rapporteringstidspunktet endnu ikke kommet meldinger om ondsindet udnyttelse i faktiske angreb.
Opdatering af et systemdækkende Brotli-bibliotek beskytter ikke nødvendigvis alle applikationer. Nogle programmer indeholder deres egne kopier af biblioteket, hvilket betyder, at administratorer også skal håndtere disse separat pakkede komponenter.
Hvis øjeblikkelig opdatering ikke er mulig, kan organisationer midlertidigt blokere indgående Brotli-komprimerede anmodninger via en proxyserver eller firewall. Alternativt kan de deaktivere Brotli-dekodning, indtil opdateringerne er installeret. Disse tiltag reducerer eksponeringen, mens teams forbereder de nødvendige rettelser.
0 svar til “.NET Brotli-sårbarhed fører til akutte Microsoft-opdateringer”