Microsoft wydał nadzwyczajną aktualizację (OOB) dla środowisk .NET 8, 9, 10 oraz 11, aby wyeliminować krytyczną podatność w bibliotece Brotli od Google. Luka o identyfikatorze CVE-2026-111497, oceniana na 8.1 w skali CVSS, umożliwia nieautoryzowanemu napastnikowi odczyt lub uszkodzenie pamięci procesu. Może to prowadzić do wycieku danych, odmowy usługi (DoS) lub eskalacji uprawnień.
Atak polega na dostarczeniu złośliwie sformatowanych danych skompresowanych algorytmem Brotli poprzez specjalnie przygotowane żądanie. Problem dotyczy nie tylko .NET, ale również Node.js, Pythona, Bun, Envoy czy Istio. Eksperci wskazują, że środowiska chmurowe są szczególnie narażone, ponieważ ogromna większość kontenerów i usług API korzysta z komponentów wykorzystujących tę bibliotekę.
Choć błąd w samym kodzie źródłowym Brotli został naprawiony już w lutym, dopiero niedawno zrozumiano jego potencjał jako luki bezpieczeństwa. Specjaliści z OpenAI zalecają, aby w miarę możliwości blokować niepewne dane skompresowane Brotli do czasu wdrożenia poprawek. Po aktualizacji bibliotek niezbędne jest ponowne zbudowanie wdrożeń i zrestartowanie usług, aby zmiany weszły w życie.
