Microsoft, CVE-2026-111497 koduyla sınıflandırılan ve teknik çevrelerde Broccoli2Shell, Node2Shell ve HTTP2Shell gibi çeşitli isimlerle bilinen kritik bir güvenlik açığını gidermek için acil (Out-of-Band) güvenlik güncellemeleri yayınladı. Sorun, Google tarafından geliştirilen Brotli sıkıştırma algoritmasının kod çözücü modülündeki bir "sınır dışı yazma" (Out-of-bounds write) hatasından kaynaklanmaktadır.
Bu açığın riskleri nelerdir?
Bu açık, HTTP sunucularını, istemcilerini ve etkilenen Brotli kütüphanelerine dayanan uygulamaları etkilemektedir. Saldırganlar, kötü niyetli olarak sıkıştırılmış bir veri akışı göndererek bu açıktan yararlanabilir; bu durum sistemin çökmesine, bellek sızıntısına veya en kötü senaryoda, .NET ortamında varsayılan olmayan ayarları kullanan sistemlerde saldırganların uzaktan kod yürütmesine (RCE) veya ayrıcalık yükseltmesine olanak tanıyabilir.
Kullanıcılar için pratikte ne değişiyor?
Microsoft, açığın tüm .NET uygulamalarını otomatik olarak etkilemediğini, çünkü Brotli kod çözme işleminin standart .NET veya ASP.NET Core kurulumlarında varsayılan olarak etkin olmadığını açıkladı. Bununla birlikte, ASP.NET Core request decompression, HttpClient automatic response decompression veya System.IO.Compression API'lerini manuel olarak kullanan uygulamalar en büyük risk altındadır.
Gerekli işlemler
Microsoft, geliştiricileri ve sistem yöneticilerini çalışma ortamlarını mümkün olan en kısa sürede güncellemeleri konusunda uyardı. Acil güncellemeler aşağıdaki sürümleri kapsamaktadır:
- .NET 8: Sürüm 8.0.33
- .NET 9: Sürüm 9.0.22
- .NET 10: Sürüm 10.0.14
- .NET 11: Üçüncü önizleme sürümü (Release Candidate 3)
Ek tavsiyeler: Güncellemelerin hemen uygulanamadığı durumlarda, gelen Brotli isteklerinin bir güvenlik duvarı veya vekil sunucu (Proxy) aracılığıyla engellenmesi ya da Brotli kod çözme özelliğinin geçici olarak devre dışı bırakılması önerilir. Uygulamalar kendi Brotli kütüphanesi sürümlerini entegre etmişse, sistem kütüphanesini güncellemenin yeterli olmayacağı ve bu entegre kütüphanelerin de ayrı olarak güncellenmesi gerektiği unutulmamalıdır.