Microsoft publica parches de emergencia para una falla crítica de Brotli en .NET

Microsoft ha publicado actualizaciones de seguridad de emergencia para una vulnerabilidad crítica en el decodificador Brotli, identificada como CVE-2026-111497. Se conoce como Broccoli2Shell y también se sigue con los nombres Node2Shell y HTTP2Shell. Imperva Red Team descubrió el fallo, que consiste en una escritura fuera de los límites.

Un flujo comprimido con Brotli y creado con fines maliciosos podría permitir que un atacante sin privilegios provoque bloqueos o fugas de memoria y, en algunos casos, ejecute código de forma remota en dispositivos con archivos binarios o bibliotecas Brotli vulnerables. Microsoft también señala que los atacantes podrían elevar privilegios de forma remota en sistemas con instalaciones de .NET sin actualizar que usen configuraciones no predeterminadas.

Según Microsoft, las aplicaciones pueden verse afectadas si procesan datos comprimidos con Brotli mediante la descompresión de solicitudes de ASP.NET Core, la descompresión automática de respuestas de HttpClient o las API de Brotli de System.IO.Compression. La descompresión de Brotli no está habilitada de forma predeterminada en .NET ni en ASP.NET Core; las aplicaciones deben activar manualmente las funciones correspondientes o invocar las API.

Las actualizaciones fuera de ciclo cubren .NET 8, .NET 9, .NET 10 y .NET 11 Release Candidate 3. Microsoft recomendó actualizar lo antes posible. Ya se han publicado pruebas de concepto en GitHub, pero no se han comunicado ataques maliciosos en circulación. Actualizar la biblioteca Brotli del sistema quizá no proteja las aplicaciones que incluyen su propia copia. La fuente indica que quienes no puedan instalar las actualizaciones de inmediato pueden bloquear las solicitudes Brotli entrantes mediante un proxy o cortafuegos, o desactivar la decodificación de Brotli hasta aplicar un parche.