Корпорация Microsoft выпустила экстренные обновления безопасности (Out-of-Band) для устранения критической уязвимости безопасности, которой присвоен идентификатор CVE-2026-111497 и которая известна в технологических кругах под несколькими именами, включая Broccoli2Shell, Node2Shell и HTTP2Shell. Проблема заключается в ошибке типа "запись за пределами буфера" (Out-of-bounds write) в модуде декодирования алгоритма сжатия Brotli, разработанного Google.
Каковы риски этой уязвимости?
Эта уязвимость затрагивает HTTP-серверы и клиенты, а также приложения, зависящие от уязвимых библиотек Brotli. Злоумышленники могут использовать эту уязвимость путем отправки вредоносным образом сжатого потока данных, что приводит к сбою системы или утечке памяти, а в худших сценариях злоумышленники могут получить возможность удаленного выполнения кода (RCE) или повышения привилегий в системах, использующих нестандартные настройки в среде .NET.
Что меняется на практике для пользователей?
Microsoft пояснила, что уязвимость затрагивает не все приложения .NET автоматически, поскольку декомпрессия Brotli не включена по умолчанию в стандартных установках .NET или ASP.NET Core. Тем не менее, приложения, которые используют такие функции, как ASP.NET Core request decompression, HttpClient automatic response decompression или программные интерфейсы System.IO.Compression вручную, наиболее подвержены риску.
Требуемые действия
Microsoft призвала разработчиков и системных администраторов обновить свои рабочие среды как можно быстрее. Экстренные обновления затронули следующие версии:
- .NET 8: версия 8.0.33
- .NET 9: версия 9.0.22
- .NET 10: версия 10.0.14
- .NET 11: третий кандидат на релиз (Release Candidate 3)
Дополнительные рекомендации: в случае невозможности немедленной установки обновлений рекомендуется блокировать входящие запросы Brotli с помощью межсетевого экрана или прокси-сервера, либо временно отключить функцию декодирования Brotli. Стоит отметить, что обновления системной библиотеки недостаточно, если приложения интегрируют собственную версию библиотеки Brotli — такие встроенные библиотеки необходимо обновлять отдельно.