Microsoft објави вонредни безбедносни ажурирања за .NET поради пропуст во технологијата за компресија Brotli, развиена од Google. Компанијата ги повикува корисниците да ги инсталираат исправките што е можно поскоро.
Новите изданија се достапни за .NET 8, .NET 9, .NET 10 и .NET 11. Тие го отстрануваат пропустот означен како CVE-2026-111497, кој според советот на Microsoft има оценка 8,1 на CVSS v3.1 скалата.
Проблемот е buffer overflow грешка во Brotli. Напаѓач без претходна автентикација би можел да испрати специјално подготвени Brotli-компресирани податоци, со што би предизвикал читање или оштетување на меморијата на процесот. Последиците може да вклучуваат откривање чувствителни информации, прекин на работата на услугите или зголемување на привилегиите во погодениот систем.
Microsoft ја оценува веројатноста за злоупотреба како поголема, иако засега нема индикации дека пропустот се користи во успешни напади. Постојат работни експлоатации изработени од безбедносни истражувачи.
Пропустот првично беше објавен од тимот на Node.js на 21 октомври, заедно со поправки за повеќе безбедносни проблеми. Основната грешка во изворниот код на Brotli била поправена уште во февруари, но тогаш не била препознаена како безбедносен ризик. Бидејќи Brotli е вградена библиотека во бројни проекти, секој софтвер што ја вклучува треба да добие сопствена надградба.
Покрај .NET и Node.js, исправки веќе објавија Python, Bun, Envoy и Istio. Истражувачи покажале и можни начини за активирање на проблемот преку FFmpeg, со специјално подготвена JPEG XL слика. Во тој случај, FFmpeg ја користи библиотеката libjxl за декомпресија на метаподатоци што можат да содржат Brotli податоци.
Корисниците и администраторите треба да ги ажурираат погодените компоненти, повторно да ги изградат распоредувањата каде што е потребно и да ги рестартираат услугите. Додека не се применат поправките, препорачливо е да се ограничува обработката на недоверливи Brotli-компресирани податоци каде што тоа е изводливо.