Microsoft hat außerplanmäßige Sicherheitsupdates für .NET veröffentlicht, um eine kritische Schwachstelle im Brotli-Komprimierungsdecoder zu beheben. Die Lücke mit der Kennung CVE-2026-111497 ist unter mehreren Namen bekannt: Broccoli2Shell, Node2Shell und HTTP2Shell. Sie wird als kritisch eingestuft und ermöglicht es nicht authentifizierten Angreifern, Speicherfehler auszulösen, die bis zur Remote-Codeausführung führen können.
Was ist die Brotli-Decoder-Lücke?
Brotli ist ein weit verbreiteter Komprimierungsalgorithmus von Google, der unter anderem für die HTTP-Komprimierung im Web genutzt wird. Die Schwachstelle ist ein sogenannter Out-of-Bounds-Write im C-Decoder von Brotli. Durch eine speziell präparierte, komprimierte Datenfolge kann ein Angreifer den Decoder dazu bringen, über die Grenzen eines internen Puffers hinauszuschreiben. Dies kann zu Abstürzen, Speicherlecks oder – unter bestimmten Umständen – zur Ausführung von beliebigem Code führen.
Betroffen sind die Brotli-Versionen 1.0.3 bis 1.2.0, Ursache ist eine fehlerhafte Zustandsbehandlung: Der Decoder interpretierte einen ungültigen Blockwechsel fälschlicherweise so, als sei eine weitere Eingabe erforderlich, anstatt einen Formatfehler zu melden. In der Folge schrieb der Streaming-Decoder kontinuierlich Daten in einen nur acht Byte großen internen Puffer und überschritt dessen Grenzen.
Betroffene .NET-Versionen und Updates
Microsoft stuft die Schwachstelle in .NET als „kritisch“ ein und stellt Out-of-Band-Updates für die folgenden Versionen bereit:
- .NET 8: Update auf Version 8.0.33
- .NET 9: Update auf Version 9.0.22
- .NET 10: Update auf Version 10.0.14
- .NET 11: Release Candidate 3
Microsoft rät dringend dazu, die Updates so schnell wie möglich zu installieren. Ob eine Anwendung tatsächlich angreifbar ist, hängt jedoch von ihrer Konfiguration ab. Die Brotli-Dekomprimierung ist in einer Standardinstallation von .NET oder ASP.NET Core standardmäßig deaktiviert.
Betroffen sind nur Anwendungen, die die Dekomprimierung explizit aktiviert haben, beispielsweise durch ASP.NET Core Request Decompression, die automatische Antwortdekomprimierung von HttpClient oder den direkten Aufruf der Brotli-APIs aus dem System.IO.Compression-Namensraum.
Dringlichkeit und Exploit-Status
Obwohl bislang keine Berichte über eine aktive Ausnutzung der Schwachstelle vorliegen, ist die Lage ernst. Zum Zeitpunkt der Offenlegung waren bereits Proof-of-Concept-Exploits auf GitHub öffentlich verfügbar. Dadurch wird die Hürde für potenzielle Angreifer erheblich gesenkt.
Microsoft stuft die Wahrscheinlichkeit einer Ausnutzung als „more likely“ (wahrscheinlicher) ein. Die Schwachstelle wurde am 21. Oktober 2026 vom Node.js-Team öffentlich gemacht und betrifft neben .NET auch Node.js, Bun, Python-Pakete, Envoy, Istio und weitere Software, die den verwundbaren Brotli-Decoder eingebettet haben.
Handlungsempfehlungen für Unternehmen
Neben der umgehenden Installation der bereitgestellten Updates sollten Organisationen außerdem folgende Punkte beachten:
- Gebündelte Kopien prüfen: Viele Anwendungen betten den Brotli-Decoder direkt in ihren eigenen Code ein, anstatt eine Systembibliothek zu nutzen. Ein Update der System-Brotli-Bibliothek reicht in solchen Fällen nicht aus. Es muss sichergestellt werden, dass alle Anwendungen und Container-Images die korrigierte Version enthalten.
- Übergangslösungen: Falls eine sofortige Patchierung nicht möglich ist, empfiehlt Microsoft, eingehende Brotli-komprimierte Anfragen über einen Proxy oder eine Firewall zu blockieren oder die Brotli-Dekodierung vorübergehend zu deaktivieren.
- Scans und Bestandsaufnahme: Da statisch gelinkte Kopien des Decoders in Software-Inventaren oft nicht als Brotli-Paket erscheinen, sind herkömmliche Schwachstellen-Scans möglicherweise unzureichend. Eine gründliche Überprüfung der eingesetzten Laufzeitumgebungen und eine Neuerstellung betroffener Anwendungen sind ratsam.
Unternehmen, die .NET-Anwendungen mit aktivierter Brotli-Dekomprimierung betreiben, sollten die bereitgestellten Patches umgehend installieren und ihre Umgebung auf gebündelte, möglicherweise noch verwundbare Kopien des Decoders überprüfen.
