Microsoft har lansert sikkerhetsoppdateringer utenom den ordinære planen for å tette den kritiske sårbarheten Broccoli2Shell, også kjent som Node2Shell og HTTP2Shell. Sårbarheten er registrert som CVE-2026-111497.

Feilen ble oppdaget av Imperva Red Team og skyldes en skriving utenfor tildelt minneområde i Brotli-dekoderen. Brotli brukes til å pakke ut data som er komprimert med Googles tapsfrie komprimeringsalgoritme.

Kan gi krasj og fjernkjøring av kode

En angriper uten særskilte rettigheter kan utnytte feilen ved å sende en spesiallaget Brotli-komprimert datastrøm. Det kan føre til krasj eller minnelekkasjer, og i enkelte tilfeller gjøre det mulig å kjøre kode eksternt på enheter med sårbare Brotli-binærfiler eller -biblioteker.

Ifølge et Microsoft-varsel publisert søndag kan sårbarheten også brukes til å eskalere privilegier eksternt på systemer med uoppdaterte .NET-installasjoner som benytter ikke-standardiserte konfigurasjoner.

«Applications may be affected if they process Brotli-compressed data through ASP.NET Core request decompression, HttpClient automatic response decompression, or the System.IO.Compression Brotli APIs,» skriver Microsoft.

Selskapet opplyser samtidig at Brotli-dekomprimering ikke er aktivert som standard i en ny .NET- eller ASP.NET Core-installasjon. Applikasjoner må selv ha aktivert dekomprimering av forespørsler i ASP.NET Core eller automatisert dekomprimering av svar i HttpClient, eller ha kalt Brotli-API-ene i .NET manuelt.

Oppdaterer flere .NET-versjoner

Microsoft har publisert oppdateringer utenom den ordinære utgivelsesplanen for .NET 8, .NET 9 og .NET 10, i tillegg til .NET 11 Release Candidate 3. Selskapet anbefaler å installere oppdateringene så snart som mulig.

Det er allerede publisert såkalte proof-of-concept-utnyttelser for Broccoli2Shell på GitHub. Det finnes likevel ingen rapporter om at sårbarheten er utnyttet i faktiske angrep.

Et eget nettsted som følger sårbarheten, advarer om at det ikke nødvendigvis er nok å oppdatere Brotli-biblioteket i operativsystemet. Risikoen kan fortsatt være til stede i applikasjoner som leveres med sin egen kopi av biblioteket.

Organisasjoner som ikke kan installere oppdateringene umiddelbart, bør blokkere innkommende Brotli-komprimerte forespørsler ved hjelp av en proxy eller brannmur. Et annet midlertidig tiltak er å deaktivere Brotli-dekoding fram til en oppdatering kan installeres.