مایکروسافت اصلاحات امنیتی اضطراری دات نت را برای باگ Google Brotli منتشر کرد

مایکروسافت برای رفع یک آسیب‌پذیری در فناوری فشرده‌سازی Brotli گوگل که می‌تواند به مهاجمان اجازه دهد حافظه پردازش را خراب کنند، از کاربران دات‌نت می‌خواهد پس از انتشار یک به‌روزرسانی امنیتی خارج از باند (OOB) «در اسرع وقت» به‌روزرسانی کنند.

نسخه‌های جدیدی را برای NET 8، 9، 10 و .NET 11 منتشر کرد تا در برابر باگ Brotli وصله کند، به دنبال به‌روزرسانی‌های مشابه Node.js، Python و پروژه‌های دیگر.

مدیر ارشد برنامه Rahul Bhandari در نسخه 25 اکتبر گفت که آسیب‌پذیری سرریز بافر در Brotli که به عنوان CVE-2026-111497 ردیابی شده و در توصیه مایکروسافت تحت CVSS v3.1 رتبه‌بندی شده است، می‌تواند به مهاجمی که احراز هویت نشده است اجازه بخواند یا اطلاعات پردازشی را از بین ببرد و یا اطلاعات پردازشی را مخدوش کند، ممکن است منجر به افشای اطلاعات شود. امتیاز

مشاوره خود مایکروسافت برای این آسیب‌پذیری، که برخی از آن به عنوان Broccoli2Shell یا Node2Shell یاد می‌کنند، تأیید می‌کند که در حالی که کارشناسان اکسپلویت‌های کاری را با هم ترکیب کرده‌اند، هیچ چیزی وجود ندارد که نشان دهد مجرمان از آنها در حملات موفقیت‌آمیز استفاده می‌کنند.

با این حال، ارزیابی قابلیت بهره‌برداری آن چنین است: «به‌احتمال زیاد بهره‌برداری».

Broccoli2Shell اولین بار در 21 اکتبر توسط تیم Node.js فاش شد که اصلاحاتی را برای 10 آسیب پذیری منتشر کرد که جدی ترین آنها CVE-2026-111497 بود.

Node.js این کشف را به Khai Tran و Sylvie Mayer از OpenAI's Codex Security نسبت داد، اما اشاره نکرد که چرا با وجود رفع اشکال اساسی در کد منبع Brotli در ماه فوریه، تنها به عنوان یک نقص امنیتی شناخته شد و در ماه اکتبر به درستی افشا شد.

OpenAI این شکاف را با Xeet پر کرد: «این مشکل ریشه‌ای در واقع در کد منبع Brotli در ماه فوریه برطرف شد، اما در آن زمان مشخص نبود که منجر به آسیب‌پذیری امنیتی شود و اخیرا Brotli منتشر نشده است.

از آنجایی که Brotli در نرم‌افزار دیگری تعبیه شده است، هر نرم‌افزاری که این کتابخانه را شامل می‌شود، باید به‌روزرسانی را نیز انجام دهد و به‌دنبال آن کاربران آن نرم‌افزار هستند.

مهاجمان می‌توانند از سیستم‌های آسیب‌پذیر با ارائه داده‌های مخرب فشرده‌شده توسط Brotli از طریق یک درخواست طراحی‌شده خاص، از آنها سوء استفاده کنند.

این آسیب‌پذیری به دلیل همسویی نزدیک با زمان افشای PHP2Shell، اندکی مورد توجه قرار گرفت، اگرچه به دلیل طیف وسیعی از فناوری‌هایی که تحت تأثیر قرار می‌گیرند، رفع نقص حیاتی باید در اولویت باشد.

علاوه بر .NET، Node.js و Python، Bun، Envoy و Istio همگی وصله‌هایی را منتشر کرده‌اند، و JFrog با استفاده از یک تصویر JPEG XL که مخصوصا ساخته شده است، یک اکسپلویت ایجاد کرده است که بر FFmpeg تأثیر می‌گذارد و مسیر بهره‌برداری را فراتر از HTTP گسترش می‌دهد.

گفته شد که FFmpeg از طریق libjxl به Brotli می‌رسد، که از آن برای فشرده‌سازی ابرداده‌های ذخیره‌شده در جعبه‌های brob در قالب تصویر استفاده می‌کند.

همان محققان گفتند که این آسیب‌پذیری بر Apache Arrow نیز تأثیر می‌گذارد و مهاجمان می‌توانند باعث انکار سرویس شوند.

مراو بار، محقق تهدید در Wiz، اضافه کرد که کاربران ابری به طور گسترده ای در معرض خطر قرار می گیرند و خاطرنشان کرد که 91 درصد از محیط های ابری به مؤلفه های آسیب پذیر در برابر نقص Brotli متکی هستند و 82 درصد از محیط های ابری نمونه های Node.js را به طور عمومی افشا کرده اند.

او گفت: «محیط‌های ابری به‌ویژه به دلیل استفاده گسترده از مؤلفه‌های فعال شده با Brotli در برنامه‌های کانتینری، خوشه‌های Kubernetes، دروازه‌های API، پراکسی‌های معکوس، بارهای کاری بدون سرور و سرویس‌های وب میزبانی شده در فضای ابری، در معرض خطر قرار می‌گیرند».

بار افزود: «استثمار موفقیت‌آمیز می‌تواند مهاجمان را قادر سازد تا بارهای کاری برنامه‌ها را به خطر بیاندازند، به اطلاعات حساس دسترسی پیدا کنند، در دسترس بودن سرویس را مختل کنند، یا کدهای مخرب را در کانتینرهای آسیب‌دیده یا محیط‌های زمان اجرا اجرا کنند.»

در توصیه‌ای که از طریق ابتکار Patch the Planet منتشر شد، OpenAI توصیه کرد تا زمانی که وصله‌ها قابل اعمال نیستند، داده‌های فشرده‌شده توسط Brotli غیرقابل اعتماد را مسدود کنید. همچنین به نگهبانان توصیه کرد که استقرارهای آسیب‌دیده را بازسازی کنند و خدمات را مجددا راه‌اندازی کنند تا اطمینان حاصل شود که اصلاحات اعمال می‌شوند. ®