Microsoft veröffentlichte am 26. Oktober außerplanmäßige Sicherheitsupdates, um die kritische .NET-Brotli-Sicherheitslücke zu beheben. Die Schwachstelle gefährdet Anwendungen, die speziell manipulierte Brotli-komprimierte Daten verarbeiten, und kann möglicherweise Abstürze, Speicherlecks oder die Ausführung von Code aus der Ferne verursachen.
Die Schwachstelle wird unter CVE-2026-111497 geführt und ist auch unter den Namen Broccoli2Shell, Node2Shell und HTTP2Shell bekannt. Allerdings hängt die Gefährdung von den Anwendungseinstellungen ab, da Standardinstallationen von .NET und ASP.NET Core die Brotli-Dekomprimierung nicht automatisch aktivieren.
Wie sich die .NET-Brotli-Sicherheitslücke auf Anwendungen auswirkt
Die Schwachstelle betrifft einen Schreibzugriff außerhalb der Speichergrenzen im Brotli-Decoder, der Daten entpackt, die mit Googles verlustfreiem Komprimierungsalgorithmus komprimiert wurden. Angreifer können diesen Fehler in der Speicherverwaltung ausnutzen, indem sie einen schädlichen komprimierten Datenstrom an anfällige Software übermitteln.
Dadurch reicht das Problem über einzelne Websites oder Dienste hinaus. HTTP-Clients, Server und andere Anwendungen können gefährdet sein, wenn sie betroffene Brotli-Implementierungen verwenden.
Erfolgreiche Angriffe könnten Software zum Absturz bringen oder Speicherinhalte offenlegen. In einigen Fällen könnten Angreifer auch Code aus der Ferne ausführen. Darüber hinaus warnt Microsoft vor einer möglichen Remote-Rechteausweitung bei ungepatchten .NET-Installationen, die von den Standardeinstellungen abweichende Konfigurationen verwenden.
Anwendungen können über die Dekomprimierung von Anfragen in ASP.NET Core, die automatische Dekomprimierung von Antworten in HttpClient oder die Brotli-APIs von System.IO.Compression mit der anfälligen Funktionalität in Berührung kommen. Entwickler müssen diese Funktionen jedoch ausdrücklich aktivieren oder die APIs selbst aufrufen.
Microsoft veröffentlicht Korrekturen für vier .NET-Versionen
Microsoft hat außerplanmäßige Sicherheitsupdates für .NET 8, .NET 9 und .NET 10 veröffentlicht. Gleichzeitig enthält .NET 11 Release Candidate 3 die entsprechende Korrektur für diese Entwicklungsversion.
Die folgenden Updates beheben die Sicherheitslücke:
| .NET-Version | Korrigierte Version |
|---|---|
| .NET 8 | 8.0.33 |
| .NET 9 | 9.0.22 |
| .NET 10 | 10.0.14 |
| .NET 11 | Release Candidate 3 |
Microsoft fordert Nutzer auf, die Updates so schnell wie möglich zu installieren. Administratoren sollten daher Anwendungen identifizieren, die eingehende Anfragen dekomprimieren, HTTP-Antworten automatisch dekodieren oder Brotli-Daten direkt verarbeiten.
Öffentlich verfügbarer Exploit-Code erhöht die Dringlichkeit von Updates
Auf GitHub wurden bereits Proof-of-Concept-Exploits veröffentlicht, wodurch die schnelle Behebung der .NET-Brotli-Sicherheitslücke noch dringlicher wird. Dennoch lagen zum Zeitpunkt der Berichterstattung keine Meldungen über eine böswillige Ausnutzung bei tatsächlichen Angriffen vor.
Die Aktualisierung einer systemweit installierten Brotli-Bibliothek schützt nicht zwangsläufig alle Anwendungen. Einige Programme enthalten eigene Kopien der Bibliothek, weshalb Administratoren auch diese separat bereitgestellten Komponenten aktualisieren müssen.
Wenn eine sofortige Aktualisierung nicht möglich ist, können Unternehmen eingehende Brotli-komprimierte Anfragen vorübergehend über einen Proxyserver oder eine Firewall blockieren. Alternativ können sie die Brotli-Dekodierung deaktivieren, bis die Updates installiert sind. Diese Maßnahmen reduzieren die Gefährdung, während die zuständigen Teams die notwendigen Korrekturen vorbereiten.
0 Kommentare zu „.NET-Brotli-Sicherheitslücke führt zu dringenden Microsoft-Updates“