Microsoft har släppt akuta säkerhetsuppdateringar för en kritisk sårbarhet i Brotli-avkodaren. Den spåras som CVE-2026-111497 och kallas Broccoli2Shell; den spåras även under namnen Node2Shell och HTTP2Shell. Imperva Red Team upptäckte felet, som beror på en skrivning utanför tilldelat minnesområde.
En skadligt utformad Brotli-komprimerad dataström kan låta en angripare utan särskilda behörigheter orsaka krascher eller minnesläckor och i vissa fall köra kod på distans på enheter med sårbara Brotli-binärfiler eller bibliotek. Microsoft uppger också att angripare kan höja behörigheter på distans på system med ouppdaterade .NET-installationer som använder konfigurationer som inte är standard.
Microsoft säger att appar kan påverkas när de behandlar Brotli-komprimerade data via dekomprimering av ASP.NET Core-förfrågningar, automatisk dekomprimering av HttpClient-svar eller Brotli-API:erna i System.IO.Compression. Brotli-dekomprimering är inte aktiverad som standard i .NET eller ASP.NET Core. Appar måste själva aktivera funktionerna eller anropa API:erna.
Uppdateringarna utanför den ordinarie utgivningen omfattar .NET 8, .NET 9, .NET 10 och .NET 11 Release Candidate 3. Microsoft rekommenderar att användare uppdaterar så snart som möjligt. Konceptbevis för sårbarheten har publicerats på GitHub, men inga fall av skadlig exploatering i verkliga attacker har rapporterats. En uppdatering av systemets Brotli-bibliotek skyddar kanske inte appar som har en egen kopia. Källan säger att den som inte kan uppdatera direkt kan blockera inkommande Brotli-komprimerade förfrågningar med en proxy eller brandvägg, eller stänga av Brotli-avkodning tills en korrigering kan installeras.
Kommentarer
0Inga kommentarer ännu. Skriv den första.