Microsoft rilascia patch .NET di emergenza per il difetto critico Brotli

Microsoft ha rilasciato aggiornamenti di sicurezza. NET di emergenza per correggere una vulnerabilità critica nota come Broccoli2Shell, monitorata anche come Node2Shell e HTTP2Shell. Tracciato come CVE-2026-111497, questo difetto di criticità è stato trovato da Imperva Red Team e deriva da una scrittura fuori limite nel decodificatore Brotli, che espande i dati compressi utilizzando l’algoritmo di compressione senza perdita Brotli ampiamente utilizzato da Google

Lo sfruttamento riuscito consente agli aggressori senza privilegi di utilizzare un flusso compresso da Brotli maliziosamente per innescare arresti anomali o perdite di memoria e, in alcuni casi, ottenere l’esecuzione di codice remoto su dispositivi con file binari o librerie Brotli vulnerabili. Secondo un advisory di Microsoft pubblicato domenica, gli aggressori possono anche sfruttare questa falla per aumentare in remoto i privilegi sui sistemi con installazioni.

NET prive di patch che utilizzano configurazioni non predefinite

. "Le applicazioni possono essere interessate se elaborano i dati compressi da Brotli tramite la decompressione della richiesta ASP. NET Core, la decompressione della risposta automatica di HttpClient o le API Brotli di System. IO. Compression", ha affermato Microsoft. "La decompressione Brotli non è abilitata per impostazione predefinita in un’installazione. NET o ASP. NET Core pronta all’uso

Le applicazioni devono attivare manualmente la decompressione della richiesta ASP. NET Core o la decompressione della risposta HttpClient, oppure devono richiamare manualmente le API di decompressione Brotli fornite da. NET. " Per risolvere questo problema, Microsoft ha rilasciato aggiornamenti di sicurezza fuori banda (OOB) per. NET 8,. NET 9 e. NET 10, insieme a. NET 11 Release Candidate 3, e ha consigliato «l’aggiornamento il prima possibile.». NET version Update Download. NET 8 8. 0. 33. NET 8 SDK e Runtime.

NET 9 9. 0. 22. NET 9 SDK

e Runtime. NET 10 10.0.14. NET 10 SDK e Runtime. NET 11 Release Candidate 3. NET 11 SDK e Runtime Mentre gli exploit proof-of-concept (PoC) per Broccoli2Shell sono già stati pubblicati su GitHub, non sono emerse segnalazioni di sfruttamento dannoso in natura. Un portale online dedicato che traccia la falla avverte che l’aggiornamento della libreria Brotli del sistema non affronta il rischio nelle app che raggruppano la propria copia della libreria

. Coloro che non possono applicare immediatamente gli aggiornamenti devono bloccare le richieste Brotli-compresse in arrivo utilizzando un proxy o un firewall o disabilitare la decodifica Brotli fino a quando non possono applicare una patch.