마이크로소프트는 CVE-2026-111497로 분류된 심각한 보안 취약점을 해결하기 위해 긴급 보안 업데이트(Out-of-Band)를 발표했습니다. 이 취약점은 기술계에서 Broccoli2Shell, Node2Shell, HTTP2Shell 등 여러 이름으로 알려져 있습니다. 문제는 구글이 개발한 Brotli 압축 알고리즘의 디코더 모듈 내 "경계 외 쓰기"(Out-of-bounds write) 오류에 있습니다.
이 취약점의 위험은 무엇인가요?
이 취약점은 영향을 받는 Brotli 라이브러리에 의존하는 HTTP 서버, 클라이언트 및 애플리케이션에 영향을 미칩니다. 공격자는 악의적으로 압축된 데이터 스트림을 전송하여 이 취약점을 악용할 수 있으며, 이는 시스템 중단이나 메모리 누수를 초래할 수 있습니다. 최악의 시나리오에서는 공격자가 .NET 환경에서 기본값이 아닌 설정을 사용하는 시스템에 대해 원격 코드 실행(RCE)을 수행하거나 권한을 상승시킬 수 있습니다.
사용자에게 실제로 무엇이 달라지나요?
마이크로소프트는 표준 .NET 또는 ASP.NET Core 설치에서 Brotli 압축 해제가 기본적으로 활성화되어 있지 않기 때문에 이 취약점이 모든 .NET 애플리케이션에 자동으로 영향을 미치는 것은 아니라고 설명했습니다. 그러나 ASP.NET Core request decompression 또는 HttpClient automatic response decompression 또는 System.IO.Compression API를 수동으로 사용하는 애플리케이션이 가장 위험에 노출되어 있습니다.
필요한 조치
마이크로소프트는 개발자와 시스템 관리자에게 가능한 한 빨리 작업 환경을 업데이트할 것을 촉구했습니다. 긴급 업데이트에는 다음 버전이 포함됩니다.
- .NET 8: 8.0.33 버전
- .NET 9: 9.0.22 버전
- .NET 10: 10.0.14 버전
- .NET 11: 릴리스 후보 3(Release Candidate 3)
추가 팁: 업데이트를 즉시 적용할 수 없는 경우, 방화벽이나 프록시(Proxy)를 통해 들어오는 Brotli 요청을 차단하거나 Brotli 디코딩 기능을 일시적으로 비활성화하는 것이 권장됩니다. 애플리케이션이 자체 버전의 Brotli 라이브러리를 내장하고 있는 경우 시스템 라이브러리 업데이트만으로는 충분하지 않으며, 해당 내장 라이브러리를 별도로 업데이트해야 한다는 점에 유의해야 합니다.