Microsoft a publié des mises à jour de sécurité d'urgence pour une vulnérabilité critique de Brotli qui touche les applications .NET activant explicitement la décompression. La faille, suivie sous l'identifiant CVE-2026-111497, peut permettre à un attaquant non autorisé d'élever ses privilèges à distance via le réseau, selon l'avis de Microsoft publié le 25 octobre 2026.
L'exposition dépend de la façon dont une application traite les données compressées. Selon Microsoft, la décompression Brotli est désactivée par défaut dans les installations standard de .NET et ASP.NET Core. Pour utiliser la fonctionnalité concernée, les applications doivent activer la décompression des requêtes ASP.NET Core ou la décompression des réponses HttpClient, ou appeler directement les API de décompression Brotli.
Brotli est un algorithme de compression sans perte développé par Google. La vulnérabilité implique une écriture hors limites dans son décodeur, ce qui signifie que la décompression peut écrire des données en dehors des limites mémoire prévues. BleepingComputer a signalé le 26 octobre que l'équipe Red Team d'Imperva avait découvert la faille, aussi appelée Broccoli2Shell, Node2Shell et HTTP2Shell.
Selon ce rapport, un flux compressé en Brotli spécialement conçu peut provoquer des plantages ou des fuites de mémoire et, dans certaines circonstances, une exécution de code à distance dans les logiciels utilisant des binaires ou des bibliothèques Brotli vulnérables. Microsoft classe l'impact sur .NET comme une élévation de privilèges et qualifie la vulnérabilité de critique. Son évaluation indique que l'exploitation ne nécessite aucun privilège préalable ni aucune interaction de l'utilisateur, mais qu'elle présente une complexité d'attaque élevée.
Mises à jour et exposition
BleepingComputer répertorie les mises à jour hors cycle sous les versions .NET 8.0.33, .NET 9.0.22 et .NET 10.0.14, ainsi que la version Release Candidate 3 de .NET 11. Selon ce rapport, Microsoft a exhorté les utilisateurs à mettre à jour dès que possible.
La distinction entre bibliothèques système et dépendances applicatives compte également. Un portail de suivi dédié, cité par BleepingComputer, avertit que la mise à jour de la bibliothèque Brotli d'un système ne corrige pas les applications qui embarquent leur propre copie. Le rapport conseille aux organisations qui ne peuvent pas appliquer le correctif immédiatement de bloquer les requêtes entrantes compressées en Brotli via un proxy ou un pare-feu, ou de désactiver le décodage Brotli jusqu'à ce que les mises à jour puissent être appliquées.
Lors de sa publication initiale, l'avis de Microsoft pour CVE-2026-111497 qualifiait la vulnérabilité de divulguée publiquement, sans exploitation signalée, et jugeait l'exploitation plus probable. BleepingComputer a ensuite signalé l'apparition d'exploits de preuve de concept sur GitHub, tout en indiquant qu'aucun cas d'exploitation malveillante dans la nature n'avait été signalé.
