Microsoft objavio vanredne .NET ispravke za kritičnu Brotli ranjivost

Microsoft je objavio vanredne bezbednosne ispravke za .NET zbog kritične ranjivosti u Brotli dekoderu. Propust se prati kao CVE-2026-111497, a poznat je i kao Broccoli2Shell, Node2Shell i HTTP2Shell.

Uzrok je upis van granica u dekoderu koji dekomprimuje podatke sažete Google-ovim Brotli algoritmom. Ranjivost pogađa HTTP klijente i servere, kao i druge alate i aplikacije koje koriste ranjive Brotli biblioteke.

Napadač bez posebnih ovlašćenja može zlonamerno napravljenim Brotli tokom izazvati pad aplikacije ili curenje memorije, a u nekim slučajevima i izvršavanje koda na daljinu. Prema Microsoftovom saopštenju, propust omogućava i podizanje ovlašćenja na daljinu na nezakrpljenim .NET instalacijama koje koriste podešavanja koja nisu podrazumevana.

Microsoft napominje da Brotli dekompresija nije podrazumevano uključena u .NET i ASP.NET Core. Aplikacije moraju same da je uključe kroz ASP.NET Core obradu zahteva, automatsku dekompresiju HttpClient odgovora ili pozivanje Brotli API-ja iz System.IO.Compression.

Vanredne ispravke su objavljene za .NET 8, .NET 9, .NET 10 i .NET 11 Release Candidate 3. Dokaz koncepta je javno dostupan na GitHub-u, ali izveštaja o zlonamernoj zloupotrebi za sada nema.

Šta uraditi

• Nadograditi .NET na ispravljenu verziju što pre, posebno na serverima sa ASP.NET Core aplikacijama.
• Ako nadogradnja nije odmah moguća, blokirati dolazne Brotli komprimovane zahteve pomoću proxy-ja ili zaštitnog zida, odnosno onemogućiti Brotli dekodiranje dok se ispravka ne primeni.
• Proveriti aplikacije koje nose sopstvenu kopiju Brotli biblioteke, jer nadogradnja sistemske biblioteke ne rešava problem u njima.