Microsoft ha rilasciato un aggiornamento di sicurezza d’emergenza per affrontare una vulnerabilità nel sistema di compressione Brotli di Google, che potrebbe consentire attacchi in grado di danneggiare la memoria del processo. L’azienda di Redmond ha esortato gli utenti di .NET a effettuare l’aggiornamento “il prima possibile”, dopo la pubblicazione di una patch fuori dal ciclo tradizionale (OOB).
Le nuove versioni per .NET 8, 9, 10 e 11 sono state rese disponibili per mitigare il problema legato al bug di Brotli, seguendo aggiornamenti simili rilasciati da Node.js, Python e altri progetti.
Rahul Bhandari, senior program manager, ha spiegato nel comunicato del 25 ottobre che la vulnerabilità di overflow del buffer in Brotli, identificata come CVE-2026-111497 e valutata 8.1 secondo il CVSS v3.1 nel comunicato di Microsoft, potrebbe permettere a un attaccante non autenticato di leggere o danneggiare la memoria del processo. Ciò potrebbe comportare divulgazione di informazioni, interruzione del servizio o elevazione dei privilegi.
Nel comunicato di Microsoft, che alcuni esperti hanno soprannominato Broccoli2Shell o Node2Shell, si conferma che, sebbene siano stati sviluppati exploit funzionanti, non ci sono prove che i criminali li stiano utilizzando con successo per attacchi. Tuttavia, la valutazione della possibilità di sfruttamento è stata classificata come “più probabile”.
Broccoli2Shell è stata scoperta per la prima volta il 21 ottobre dal team di Node.js, il quale ha rilasciato patch per dieci vulnerabilità, la più grave delle quali corrisponde a CVE-2026-111497. Node.js ha riconosciuto il merito a Khai Tran e Sylvie Mayer di OpenAI Codex Security per la scoperta, ma non ha specificato perché il problema fosse riconosciuto come vulnerabilità di sicurezza solo ad ottobre, nonostante il bug fosse stato risolto nel codice sorgente di Brotli già a febbraio.
OpenAI ha chiarito la situazione con un post: “Questo problema alla radice era stata in realtà corretto nel codice sorgente di Brotli a febbraio, ma non era noto all’epoca che questo avesse dato origine a una vulnerabilità di sicurezza e non c’era stata una versione più recente di Brotli.”
Gli attaccanti possono approfittare dei sistemi vulnerabili inviando loro dati compressi maliciousi in Brotli tramite richieste appositamente costruite. La rilevanza della vulnerabilità è stata in parte oscurata a causa del tempismo della sua divulgazione, che si è sovrapposta a quella di PHP2Shell. Tuttavia, la risoluzione di questo problema critico dovrebbe essere una priorità, date le numerose tecnologie coinvolte.
Oltre a .NET, sono stati rilasciati aggiornamenti per Node.js e Python, così come per Bun, Envoy e Istio. Inoltre, JFrog ha elaborato un exploit che colpisce FFmpeg utilizzando un’immagine JPEG XL appositamente progettata, ampliando ulteriormente le modalità di sfruttamento oltre l’HTTP.
I ricercatori hanno anche dichiarato che la vulnerabilità colpisce Apache Arrow, permettendo agli attaccanti di causare un’interruzione del servizio. Merav Bar, ricercatrice delle minacce presso Wiz, ha sottolineato che gli utenti cloud sono ampiamente esposti, notando che il 91% degli ambienti cloud si basa su componenti vulnerabili al difetto di Brotli e che l’82% degli ambienti cloud presenta istanze Node.js esposte al pubblico.
Bar ha affermato: “Gli ambienti cloud sono particolarmente esposti a causa dell’ampio utilizzo di componenti abilitati a Brotli nelle applicazioni containerizzate, nei cluster Kubernetes, nei gateway API, nei reverse proxy, nei carichi di lavoro serverless e nei servizi web ospitati nel cloud.”
“Un successo nell’exploitation potrebbe consentire agli attaccanti di compromettere i carichi di lavoro dell’applicazione, accedere alle informazioni sensibili, interrompere la disponibilità del servizio o eseguire codice malevolo all’interno dei container o degli ambienti di runtime interessati,” ha aggiunto Bar.
In una comunicazione pubblicata tramite la sua iniziativa Patch the Planet, OpenAI ha consigliato di bloccare i dati compressi con Brotli non fidati, dove possibile, fino a quando non saranno applicate le patch. Ha anche raccomandato ai manutentori di ricostruire le implementazioni interessate e riavviare i servizi per garantire l’efficacia delle correzioni.
