CISA varnar för aktiv exploatering av kritisk Brotli-sårbarhet

USA:s cybersäkerhetsmyndighet CISA uppger att angripare har börjat utnyttja en kritisk sårbarhet i Brotli, Googles förlustfria komprimeringsalgoritm. Sårbarheten har beteckningen CVE-2026-111497 och kallas även Node2Shell, Broccoli2Shell och HTTP2Shell.

Felet är en skrivning utanför tilldelat minnesutrymme i Brotli-avkodaren. En manipulerad komprimerad dataström kan orsaka krascher eller minnesläckor och i vissa fall göra det möjligt för en obehörig fjärrangripare att köra kod på enheter med sårbara Brotli-bibliotek eller binärfiler. Problemet upptäcktes först i Node.js, men berör även HTTP-servrar och klienter som använder sårbara Brotli-implementationer.

CISA lade till sårbarheten i katalogen Known Exploited Vulnerabilities (KEV) på tisdagen och beordrade amerikanska federala myndigheter att uppdatera berörda system senast den 10 november, enligt Binding Operational Directive (BOD) 26-04. Direktivet gäller federala myndigheter. CISA uppmanade också alla nätverksförsvarare att prioritera uppdateringarna.

Microsoft släppte en akut säkerhetsuppdatering för .NET på söndagen och varnade för att angripare kan utnyttja felet för att höja sina behörigheter på system med en sårbar .NET-version. För system som inte kan uppdateras direkt rekommenderade CISA att inkommande Brotli-komprimerade förfrågningar blockeras i en proxy eller brandvägg, eller att Brotli-avkodning stängs av tills uppdateringen kan installeras. Efter uppdateringen bör administratörer starta om berörda processer och bygga om och distribuera berörda containeravbilder.