Microsoft випустила термінові патчі .NET для критичної уразливості Brotli

Microsoft випустила термінові оновлення безпеки для .NET, щоб виправити критичну уразливість у декодері Brotli (CVE-2026-111497), також відому як Broccoli2Shell, Node2Shell або HTTP2Shell.

Що сталося

За даними компанії, проблему виявила команда Imperva Red Team: це помилка виходу за межі буфера під час декодування даних, стиснутих алгоритмом Brotli. Її експлуатація дає змогу неавторизованим зловмисникам спричиняти збої, витоки пам’яті, а в окремих випадках — віддалене виконання коду на пристроях із вразливими бінарними файлами чи бібліотеками Brotli. На системах із неоновленими інсталяціями .NET та нетиповими конфігураціями можливе й віддалене підвищення привілеїв.

Кого це зачіпає

Microsoft попереджає, що ризику піддаються застосунки, які обробляють Brotli-стиснені дані через ASP.NET Core request decompression, автоматичне розпакування відповідей у HttpClient або через API System.IO.Compression Brotli. Розпакування Brotli не ввімкнене за замовчуванням у .NET чи ASP.NET Core — розробники мають увімкнути його самостійно або викликати відповідні API.

Оновлення і версії

Компанія випустила позапланові (OOB) патчі та радить оновитися якомога швидше. Доступні такі збірки:

• .NET 8 — версія 8.0.33 (SDK і Runtime)
• .NET 9 — версія 9.0.22 (SDK і Runtime)
• .NET 10 — версія 10.0.14 (SDK і Runtime)
• .NET 11 — Release Candidate 3 (SDK і Runtime)

Попри наявність proof-of-concept експлойтів на GitHub, повідомлень про зловмисне використання уразливості «в полях» наразі немає. Окремий портал відстеження проблеми застерігає, що оновлення системної бібліотеки Brotli не усуває ризик для застосунків, які постачають власну копію бібліотеки.

Як тимчасово захиститися

Якщо негайне встановлення патчів неможливе, рекомендується блокувати вхідні Brotli-стиснені запити на проксі або фаєрволі, або тимчасово вимкнути декодування Brotli до застосування оновлень.

Джерела

• BleepingComputer: Microsoft releases emergency .NET patches for critical Brotli flaw