Microsoft släppte akuta säkerhetsuppdateringar den 26 oktober för att åtgärda den kritiska .NET Brotli-sårbarheten. Sårbarheten hotar applikationer som behandlar särskilt utformad Brotli-komprimerad data och kan orsaka krascher, minnesläckor eller fjärrkörning av kod.
Problemet spåras som CVE-2026-111497 och går även under namnen Broccoli2Shell, Node2Shell och HTTP2Shell. Exponeringen beror dock på applikationernas inställningar, eftersom standardinstallationer av .NET och ASP.NET Core inte automatiskt aktiverar Brotli-dekomprimering.
Så påverkar .NET Brotli-sårbarheten applikationer
Sårbarheten handlar om en skrivning utanför minnesgränserna i Brotli-avkodaren, som packar upp data komprimerad med Googles förlustfria komprimeringsalgoritm. Angripare kan utnyttja detta fel i minneshanteringen genom att skicka en skadlig komprimerad dataström till sårbar programvara.
Därför sträcker sig problemet bortom enskilda webbplatser eller tjänster. HTTP-klienter, servrar och andra applikationer kan exponeras när de använder berörda Brotli-implementationer.
Framgångsrika attacker kan få programvara att krascha eller läcka minnesinnehåll. I vissa fall kan angripare även köra kod på distans. Dessutom varnar Microsoft för möjligheten till fjärrbaserad privilegieeskalering i ouppdaterade .NET-installationer som använder andra konfigurationer än standardinställningarna.
Applikationer kan komma åt den sårbara funktionen genom dekomprimering av förfrågningar i ASP.NET Core, automatisk dekomprimering av svar i HttpClient eller Brotli-API:erna i System.IO.Compression. Utvecklare måste dock uttryckligen aktivera dessa funktioner eller själva anropa API:erna.
Microsoft släpper korrigeringar för fyra .NET-versioner
Microsoft har släppt säkerhetsuppdateringar utanför det ordinarie uppdateringsschemat för .NET 8, .NET 9 och .NET 10. Samtidigt innehåller .NET 11 Release Candidate 3 motsvarande korrigering för denna utvecklingsversion.
Följande uppdateringar åtgärdar sårbarheten:
| .NET-version | Korrigerad version |
|---|---|
| .NET 8 | 8.0.33 |
| .NET 9 | 9.0.22 |
| .NET 10 | 10.0.14 |
| .NET 11 | Release Candidate 3 |
Microsoft uppmanar användare att installera uppdateringarna så snart som möjligt. Administratörer bör därför identifiera applikationer som dekomprimerar inkommande förfrågningar, automatiskt avkodar HTTP-svar eller behandlar Brotli-data direkt.
Offentlig exploitkod ökar behovet av snabba uppdateringar
Konceptbevis för exploatering har redan publicerats på GitHub, vilket ökar behovet av att snabbt åtgärda .NET Brotli-sårbarheten. Trots detta hade inga rapporter om skadligt utnyttjande i verkliga attacker framkommit vid rapporteringstillfället.
Att uppdatera ett systemövergripande Brotli-bibliotek skyddar inte nödvändigtvis alla applikationer. Vissa program innehåller egna kopior av biblioteket, vilket innebär att administratörer även måste åtgärda dessa separat paketerade komponenter.
Om omedelbar uppdatering inte är möjlig kan organisationer tillfälligt blockera inkommande Brotli-komprimerade förfrågningar via en proxyserver eller brandvägg. Alternativt kan de inaktivera Brotli-avkodning tills uppdateringarna har installerats. Dessa åtgärder minskar exponeringen medan teamen förbereder de nödvändiga korrigeringarna.
0 svar till ”.NET Brotli-sårbarhet leder till akuta Microsoft-uppdateringar”