Microsoft, kritik Brotli açığı için acil .NET yamaları yayımladı

Microsoft, Brotli kod çözücüsündeki CVE-2026-111497 olarak izlenen kritik güvenlik açığı için acil güvenlik güncellemeleri yayımladı. Broccoli2Shell olarak bilinen açık, Node2Shell ve HTTP2Shell adlarıyla da izleniyor. Açığı Imperva Red Team buldu; sorun, sınırların dışında yazma hatasından kaynaklanıyor.

Kötü amaçla hazırlanmış Brotli sıkıştırmalı bir akış, ayrıcalıksız bir saldırganın çökmelere veya bellek sızıntılarına yol açmasına ve bazı durumlarda savunmasız Brotli ikili dosyaları ya da kitaplıkları bulunan cihazlarda uzaktan kod çalıştırmasına imkân verebilir. Microsoft, varsayılan olmayan yapılandırmalar kullanan ve güncellenmemiş .NET kurulumlarında saldırganların uzaktan ayrıcalık yükseltebileceğini de belirtiyor.

Microsoft'a göre uygulamalar, Brotli sıkıştırmalı verileri ASP.NET Core istek açma, HttpClient otomatik yanıt açma veya System.IO.Compression Brotli API'leri üzerinden işlerken etkilenebilir. Brotli açma, .NET veya ASP.NET Core'da varsayılan olarak etkin değildir; uygulamaların ilgili özellikleri kullanıma açması ya da API'leri çağırması gerekir.

Olağan dışı bant dışı güncellemeler .NET 8, .NET 9, .NET 10 ve .NET 11 Release Candidate 3 sürümlerini kapsıyor. Microsoft, kullanıcıların mümkün olan en kısa sürede güncelleme yapmasını önerdi. Kavram kanıtı istismarları GitHub'da yayımlandı, ancak gerçek saldırılarda kötüye kullanım bildirimi yok. Sistemdeki Brotli kitaplığını güncellemek, kendi kopyasını içeren uygulamaları korumayabilir. Kaynak, güncellemeyi hemen yapamayanların yama uygulayana kadar bir proxy veya güvenlik duvarıyla gelen Brotli sıkıştırmalı istekleri engelleyebileceğini ya da Brotli kod çözmeyi devre dışı bırakabileceğini belirtiyor.