Microsoft je objavio vanredna bezbednosna ažuriranja za .NET zbog propusta u tehnologiji za kompresiju Brotli, koju je razvio Google. Kompanija poziva korisnike da što pre instaliraju ispravke.
Nova izdanja dostupna su za .NET 8, .NET 9, .NET 10 i .NET 11. Ona otklanjaju propust označen kao CVE-2026-111497, koji prema savetu kompanije Microsoft ima ocenu 8,1 na CVSS v3.1 skali.
Problem je greška prekoračenja bafera u Brotli. Napadač bez prethodne autentifikacije mogao bi da pošalje posebno pripremljene Brotli-kompresovane podatke, čime bi izazvao čitanje ili oštećenje memorije procesa. Posledice mogu da uključuju otkrivanje osetljivih informacija, prekid rada usluga ili povećanje privilegija u pogođenom sistemu.
Microsoft ocenjuje verovatnoću zloupotrebe kao veću, iako za sada nema naznaka da se propust koristi u uspešnim napadima. Postoje funkcionalni eksploiti koje su izradili bezbednosni istraživači.
Propust je prvobitno objavio tim Node.js 21. oktobra, zajedno sa ispravkama za više bezbednosnih problema. Osnovna greška u izvornom kodu Brotli bila je ispravljena još u februaru, ali tada nije bila prepoznata kao bezbednosni rizik. Pošto je Brotli ugrađena biblioteka u brojnim projektima, svaki softver koji je uključuje treba da dobije sopstvenu nadogradnju.
Pored .NET i Node.js, ispravke su već objavili Python, Bun, Envoy i Istio. Istraživači su pokazali i moguće načine za aktiviranje problema putem FFmpeg, sa posebno pripremljenom JPEG XL slikom. U tom slučaju, FFmpeg koristi biblioteku libjxl za dekompresiju metapodataka koji mogu da sadrže Brotli podatke.
Korisnici i administratori treba da ažuriraju pogođene komponente, ponovo izgrade implementacije gde je to potrebno i restartuju usluge. Dok se ne primene ispravke, preporučljivo je ograničiti obradu nepouzdanih Brotli-kompresovanih podataka tamo gde je to izvodljivo.