Microsoft hat dringende Out-of-Band-Sicherheitsupdates veröffentlicht, um eine kritische Sicherheitslücke mit der Kennung CVE-2026-111497 zu beheben, die in Fachkreisen unter verschiedenen Namen wie Broccoli2Shell, Node2Shell und HTTP2Shell bekannt ist. Das Problem liegt in einem Out-of-bounds-Write-Fehler (Schreiben außerhalb der Grenzen) innerhalb des Dekodierungsmoduls für den von Google entwickelten Brotli-Komprimierungsalgorithmus.
Was sind die Risiken dieser Sicherheitslücke?
Diese Sicherheitslücke betrifft HTTP-Server und -Clients sowie Anwendungen, die auf betroffene Brotli-Bibliotheken angewiesen sind. Angreifer können diese Sicherheitslücke ausnutzen, indem sie einen bösartig komprimierten Datenstrom senden, was zu Systemabstürzen oder Speicherlecks führt. Im schlimmsten Fall können Angreifer Remotecode ausführen (RCE) oder Berechtigungen auf Systemen eskalieren, die Nicht-Standard-Einstellungen in der .NET-Umgebung verwenden.
Was ändert sich praktisch für die Nutzer?
Microsoft hat klargestellt, dass die Sicherheitslücke nicht automatisch alle .NET-Anwendungen betrifft, da die Brotli-Dekomprimierung bei Standardinstallationen von .NET oder ASP.NET Core nicht standardmäßig aktiviert ist. Anwendungen, die Funktionen wie ASP.NET Core request decompression, HttpClient automatic response decompression oder die APIs von System.IO.Compression manuell nutzen, sind jedoch am stärksten gefährdet.
Erforderliche Maßnahmen
Microsoft hat Entwickler und Systemadministratoren dringend aufgefordert, ihre Arbeitsumgebungen so schnell wie möglich zu aktualisieren. Die Notfall-Updates umfassen die folgenden Versionen:
- .NET 8: Version 8.0.33
- .NET 9: Version 9.0.22
- .NET 10: Version 10.0.14
- .NET 11: Release Candidate 3
Zusätzliche Ratschläge: Falls die Updates nicht sofort eingespielt werden können, wird empfohlen, eingehende Brotli-Anfragen über eine Firewall oder einen Proxy zu blockieren oder die Brotli-Dekodierungsfunktion vorübergehend zu deaktivieren. Es ist zu beachten, dass die Aktualisierung der Systembibliothek nicht ausreicht, wenn Anwendungen ihre eigene integrierte Version der Brotli-Bibliothek verwenden; diese integrierten Bibliotheken müssen separat aktualisiert werden.