Microsoft пусна извънредни актуализации за сигурност за .NET, за да отстрани критична уязвимост, известна като Broccoli2Shell, проследявана също като Node2Shell и HTTP2Shell.
С проследяващ номер CVE-2026-111497, този дефект с критично ниво на опасност е открит от екипа на Imperva Red Team и произтича от запис извън границите на буфера (out-of-bounds write) в декодера на Brotli, който декомпресира данни, компресирани с широко използвания алгоритъм за компресиране без загуби Brotli на Google.
Успешната експлоатация позволява на непривилегировани атакуващи да използват злонамерено създаден поток от Brotli-компресирани данни, за да предизвикат сривове или изтичане на памет, а в някои случаи и отдалечено изпълнение на код на устройства с уязвими двоични файлове или библиотеки на Brotli.
Според бюлетин на Microsoft, публикуван в неделя, атакуващите могат също да експлоатират този дефект за отдалечено ескалиране на привилегии в системи с некоригирани инсталации на .NET, които използват конфигурации, различни от стандартните.
„Приложенията могат да бъдат засегнати, ако обработват Brotli-компресирани данни чрез декомпресиране на заявки в ASP.NET Core, автоматично декомпресиране на отговори в HttpClient или чрез API за Brotli в System.IO.Compression“, заявиха от Microsoft.
„Декомпресирането на Brotli не е активирано по подразбиране при стандартна инсталация на .NET или ASP.NET Core. Приложенията трябва изрично да включат декомпресирането на заявки в ASP.NET Core или декомпресирането на отговори в HttpClient, или ръчно да извикват API интерфейсите за декомпресиране на Brotli, предоставени от .NET.“
За да отстрани този проблем, Microsoft пусна извънредни (out-of-band) актуализации за сигурност за .NET 8, .NET 9 и .NET 10, заедно с .NET 11 Release Candidate 3, и препоръча „обновяване възможно най-скоро“.
| .NET version | Update | Download |
|---|---|---|
| .NET 8 | 8.0.33 | .NET 8 SDK and Runtime |
| .NET 9 | 9.0.22 | .NET 9 SDK and Runtime |
| .NET 10 | 10.0.14 | .NET 10 SDK and Runtime |
| .NET 11 | Release Candidate 3 | .NET 11 SDK and Runtime |
Въпреки че концептуални кодове за експлоатация (PoC) за Broccoli2Shell вече са публикувани в GitHub, няма данни за реални злонамерени атаки в активна среда.
Специализиран онлайн портал, проследяващ уязвимостта, предупреждава, че обновяването на системната библиотека на Brotli не елиминира риска за приложения, които включват собствено копие на библиотеката.
Тези, които не могат да инсталират актуализациите незабавно, трябва да блокират входящите Brotli-компресирани заявки чрез прокси или защитна стена, или да деактивират декодирането на Brotli, докато успеят да инсталират корекция за сигурност.