مایکروسافت به‌روزرسانی‌های امنیتی اضطراری .NET را برای وصله کردن یک آسیب‌پذیری حیاتی معروف به Broccoli2Shell که با نام‌های Node2Shell و HTTP2Shell نیز شناخته می‌شود، منتشر کرد.
این نقص بحرانی که با شناسه CVE-2026-111497 ردیابی می‌شود، ناشی از یک نوشتن خارج از محدوده در رمزگشای Brotli است که داده‌های فشرده‌شده با استفاده از الگوریتم فشرده‌سازی بدون اتلاف Brotli گوگل را گسترش می‌دهد.
HTTP2Shell بر کلاینت‌ها و سرورهای HTTP و همچنین سایر برنامه‌ها و ابزارهایی که به پیاده‌سازی‌های آسیب‌پذیر Brotli متکی هستند، تأثیر می‌گذارد.
سوءاستفاده موفقیت‌آمیز به مهاجمان غیرمجاز اجازه می‌دهد تا از یک جریان فشرده‌سازی‌شده‌ی Brotli که به صورت مخرب ساخته شده است، برای ایجاد خرابی یا نشت حافظه استفاده کنند و در برخی موارد، اجرای کد از راه دور را در دستگاه‌هایی با فایل‌های باینری یا کتابخانه‌های آسیب‌پذیر Brotli به دست آورند.
طبق یک توصیه‌نامه‌ی مایکروسافت، مهاجمان همچنین می‌توانند از این نقص برای افزایش سطح امتیازات از راه دور در سیستم‌هایی با نصب‌های .NET وصله‌نشده که از پیکربندی‌های غیر پیش‌فرض استفاده می‌کنند، سوءاستفاده کنند.
مایکروسافت گفت: “اگر برنامه‌ها داده‌های فشرده‌سازی‌شده‌ی Brotli را از طریق ASP.NET Core request decompression، HttpClient automatic response decompression یا APIهای System.IO.Compression Brotli پردازش کنند، ممکن است تحت تأثیر قرار گیرند.”
برای رفع این نقص، مایکروسافت به‌روزرسانی‌های امنیتی خارج از برنامه (OOB) را برای .NET8، .NET 9 و .NET 10 به همراه نسخه کاندید ۳ .NET 11 منتشر کرده و توصیه کرده است که «در اسرع وقت به‌روزرسانی انجام شود».
یک پورتال آنلاین اختصاصی که این نقص را ردیابی می‌کند، هشدار می‌دهد که به‌روزرسانی کتابخانه‌ی Brotli سیستم، خطر موجود در برنامه‌هایی را که نسخه‌ای از کتابخانه‌ی خود را به صورت بسته‌بندی ارائه می‌دهند، برطرف نمی‌کند.
کسانی که نمی‌توانند فوراً به‌روزرسانی‌ها را اعمال کنند، باید Brotli-compressed requests ورودی را با استفاده از پروکسی یا فایروال مسدود کنند، یا رمزگشایی Brotli را تا زمانی که بتوانند وصله را اعمال کنند، غیرفعال کنند.
منبع: