Microsoft lanserte sikkerhetsoppdateringer utenom den ordinære oppdateringsplanen 26. oktober for å rette den kritiske .NET Brotli-sårbarheten. Sårbarheten truer applikasjoner som behandler spesielt utformede Brotli-komprimerte data, og kan føre til krasj, minnelekkasjer eller ekstern kjøring av kode.
Problemet spores som CVE-2026-111497 og er også kjent under navnene Broccoli2Shell, Node2Shell og HTTP2Shell. Eksponeringen avhenger imidlertid av applikasjonsinnstillingene, ettersom standardinstallasjoner av .NET og ASP.NET Core ikke automatisk aktiverer Brotli-dekomprimering.
Hvordan .NET Brotli-sårbarheten påvirker applikasjoner
Sårbarheten innebærer en skriveoperasjon utenfor minnegrensene i Brotli-dekoderen, som pakker ut data komprimert med Googles tapsfrie komprimeringsalgoritme. Angripere kan utnytte denne feilen i minnehåndteringen ved å sende en skadelig komprimert datastrøm til sårbar programvare.
Dermed strekker problemet seg utover individuelle nettsteder eller tjenester. HTTP-klienter, servere og andre applikasjoner kan bli eksponert når de bruker berørte Brotli-implementeringer.
Vellykkede angrep kan føre til at programvare krasjer eller lekker minneinnhold. I enkelte tilfeller kan angripere også kjøre kode eksternt. I tillegg advarer Microsoft om mulig ekstern privilegieeskalering i .NET-installasjoner som ikke er oppdatert, og som bruker andre konfigurasjoner enn standardinnstillingene.
Applikasjoner kan komme i kontakt med den sårbare funksjonaliteten gjennom dekomprimering av forespørsler i ASP.NET Core, automatisk dekomprimering av svar i HttpClient eller Brotli-API-ene i System.IO.Compression. Utviklere må imidlertid aktivere disse funksjonene eksplisitt eller selv kalle API-ene.
Microsoft lanserer rettelser for fire .NET-versjoner
Microsoft har gitt ut sikkerhetsoppdateringer utenom den ordinære oppdateringsplanen for .NET 8, .NET 9 og .NET 10. Samtidig inneholder .NET 11 Release Candidate 3 den tilsvarende rettelsen for denne utviklingsversjonen.
Følgende oppdateringer retter sårbarheten:
| .NET-versjon | Rettet versjon |
|---|---|
| .NET 8 | 8.0.33 |
| .NET 9 | 9.0.22 |
| .NET 10 | 10.0.14 |
| .NET 11 | Release Candidate 3 |
Microsoft oppfordrer brukere til å installere oppdateringene så raskt som mulig. Administratorer bør derfor identifisere applikasjoner som dekomprimerer innkommende forespørsler, automatisk dekoder HTTP-svar eller behandler Brotli-data direkte.
Offentlig tilgjengelig utnyttelseskode øker behovet for raske oppdateringer
Konseptbevis for utnyttelse av sårbarheten har allerede dukket opp på GitHub, noe som øker behovet for raskt å rette .NET Brotli-sårbarheten. Likevel hadde det ikke kommet rapporter om ondsinnet utnyttelse i faktiske angrep på rapporteringstidspunktet.
Oppdatering av et systemomfattende Brotli-bibliotek beskytter ikke nødvendigvis alle applikasjoner. Enkelte programmer inkluderer egne kopier av biblioteket, noe som betyr at administratorer også må håndtere disse separat pakkede komponentene.
Hvis umiddelbar oppdatering ikke er mulig, kan organisasjoner midlertidig blokkere innkommende Brotli-komprimerte forespørsler gjennom en proxyserver eller brannmur. Alternativt kan de deaktivere Brotli-dekoding frem til oppdateringene er installert. Disse tiltakene reduserer eksponeringen mens teamene forbereder de nødvendige rettelsene.
0 responses to “.NET Brotli-sårbarhet fører til hasteoppdateringer fra Microsoft”