Microsoft a publicat duminică actualizări de securitate în afara ciclului obișnuit pentru a remedia vulnerabilitatea critică CVE-2026-111497, cunoscută drept Broccoli2Shell, Node2Shell și HTTP2Shell. Defectul din decodorul Brotli poate duce la blocări și scurgeri de memorie, iar în anumite condiții le poate permite atacatorilor să execute cod de la distanță.
O eroare de memorie, mai multe căi de atac
Sursă foto: www.bleepstatic.comVulnerabilitatea a fost identificată de echipa Imperva Red Team și provine dintr-o scriere în afara limitelor alocate în decodorul Brotli. Componenta decomprimă datele comprimate cu algoritmul fără pierderi Brotli, utilizat pe scară largă pentru transferul de conținut pe web.
Un atacator fără privilegii poate transmite un flux Brotli construit special pentru a declanșa blocarea aplicației sau scurgeri de memorie. În unele situații, exploatarea poate duce la execuție de cod de la distanță pe sisteme care folosesc binare ori biblioteci Brotli vulnerabile.
Microsoft avertizează și asupra posibilității de escaladare de la distanță a privilegiilor, dar numai în sisteme cu instalări .NET neactualizate și configurații care nu sunt cele implicite. Prin urmare, expunerea depinde de modul în care aplicația folosește efectiv decomprimarea Brotli, nu doar de prezența platformei .NET.
Aplicațiile trebuie să activeze explicit decomprimarea
Potrivit Microsoft, aplicațiile pot fi afectate dacă procesează date Brotli prin decomprimarea solicitărilor în ASP.NET Core, decomprimarea automată a răspunsurilor în HttpClient sau API-urile Brotli din System.IO.Compression. Aceste puncte de integrare pot transforma datele primite de la distanță în suprafață de atac.
Decomprimarea Brotli nu este activată implicit într-o instalare standard .NET sau ASP.NET Core. Aplicația trebuie să activeze manual decomprimarea solicitărilor ori a răspunsurilor sau să apeleze direct API-urile .NET pentru decomprimarea Brotli.
Microsoft a lansat patch-uri de urgență pentru .NET 8, .NET 9 și .NET 10, precum și pentru .NET 11 Release Candidate 3, și le recomandă administratorilor să actualizeze cât mai curând. Exploituri de tip proof-of-concept au fost deja publicate pe GitHub, însă nu au fost raportate, până acum, atacuri malițioase confirmate în mediul real.
Ce trebuie să facă organizațiile din România și UE
Pentru companiile și instituțiile din România și din Uniunea Europeană, prioritatea este inventarierea aplicațiilor .NET care acceptă date Brotli de la distanță, urmată de aplicarea versiunilor corectate. Echipele tehnice ar trebui să verifice separat configurațiile ASP.NET Core, HttpClient și utilizarea directă a API-urilor Brotli.
Dacă actualizarea nu poate fi instalată imediat, Microsoft recomandă blocarea solicitărilor comprimate Brotli la nivelul unui proxy sau firewall ori dezactivarea temporară a decodării. Aceste măsuri reduc riscul, dar nu înlocuiesc instalarea patch-ului; organizațiile ar trebui să urmărească și jurnalele pentru erori sau comportamente neobișnuite.
Un avertisment important privește aplicațiile care includ propria copie a bibliotecii Brotli: actualizarea bibliotecii instalate la nivelul sistemului nu elimină automat vulnerabilitatea din aceste componente. Administratorii trebuie să identifice dependențele incluse în aplicații și să le actualizeze separat, apoi să confirme prin testare că versiunea corectată este efectiv folosită.
