Már kihasználják a Brotli hibáját, a Microsoft soron kívül javította a .NET-ben

A CVE-2026-111497 azonosítójú hiba a Brotli-dekóderben, vagyis a tömörített adatokat kibontó programrészben található. Egy jogosultsággal nem rendelkező távoli támadó erre készített adatfolyammal módosíthatja a memória tartalmát, érzékeny adatokat szerezhet meg, leállást okozhat, és akár kódot is futtathat.

A hiba súlyossága a CVSS skálán 9,2, ami kritikus besorolást jelent. A CISA október 27-én felvette a ténylegesen kihasznált sérülékenységek listájára. A korábbi beszámolók még arról szóltak, hogy nem jelentettek éles támadást; azóta a CISA minősítése megváltozott. A támadások jellegéről és kiterjedéséről a hatóság figyelmeztetése nyomán készült beszámoló nem közöl részleteket.

A Microsoft közlése szerint a .NET-alkalmazások akkor lehetnek érintettek, ha az ASP.NET Core segítségével bontják ki a beérkező kéréseket, a HttpClient automatikusan kicsomagolja a válaszokat, vagy az alkalmazás a System.IO.Compression Brotli-felületeit használja.

A Brotli kicsomagolása az alapértelmezett .NET- és ASP.NET Core-telepítésben nincs bekapcsolva. Az érintettséghez az alkalmazásnak külön be kell kapcsolnia valamelyik említett funkciót, vagy közvetlenül használnia kell a kicsomagoló felületet.

A Microsoft a .NET 8, 9 és 10 kiadáshoz, valamint a .NET 11 Release Candidate 3 változathoz adott ki javítást. A .NET 11 Release Candidate 2 használóinak a Release Candidate 3 változatra kell frissíteniük. A cég azt javasolja, hogy az érintettek mielőbb alkalmazzák a javításokat.

A hiba nem kizárólag a .NET-ben jelenik meg: a Node.js és a Bun mellett a Python Brotli és brotlicffi csomagja, valamint az Envoy is használhatja a sérülékeny kódot. Az Envoy esetében akkor érhető el a hiba, ha a Brotli-kicsomagolást beállították. Az Istio is érintett lehet, ha ez a funkció engedélyezve van.

A Python esetében a telepített Brotli vagy brotlicffi csomagot egyes HTTP-kliensek akkor is használhatják a válaszok kibontására, ha az alkalmazás saját kódja nem importálja közvetlenül a csomagot.

A rendszer Brotli-könyvtárának frissítése önmagában nem javítja azokat az alkalmazásokat, amelyek saját példányt tartalmaznak. Az Imperva kutatói egy javítatlan Node.js-változaton kódfuttatást is bemutattak; más változatokon ezt a beszámoló szerint nem tesztelték.

A soron kívüli csomag a Brotli hibája mellett a CVE-2026-114148 azonosítójú problémát is javítja. Ez a linuxos .NET-csomagok tulajdonosi adatait érinti, és helyi jogosultságkiterjesztést tehet lehetővé egy jogosultsággal rendelkező támadónak.

A .NET 10 és 11 esetében a forrásból építéshez használt csomagok érintettek. A .NET 8 és 9 esetében az ASP.NET Core csomagjaiból telepítők is érintettek lehetnek. A Microsoft két, októberben már javított hiba javítását is újból kiadta, mert azokat a havi frissítés nem kezelte teljesen.

Átmenetileg a bejövő Brotli-tömörített kérések blokkolása és a kicsomagolás kikapcsolása is szóba jöhet. A bejövő kérések szűrése önmagában nem védi ki, ha az alkalmazás egy másik szervertől kap rosszindulatú, tömörített választ.

A Python-alkalmazásoknál a Brotli és a brotlicffi csomag eltávolítását is ajánlják arra az időre, amíg nem telepíthető a javítás. A Node.js esetében a forrás szerint nem tettek közzé kerülőmegoldást, ezért ott a futtatókörnyezet frissítése szükséges.