Brotli-haavoittuvuus koskee .NETiä ja Node.js:ää: tarkista ja päivitä sovellukset

Sovellus voi vastaanottaa tavallista HTTPS-liikennettä ja silti käsitellä vaarallista syötettä, jos se purkaa käyttäjän toimittamaa Brotli-dataa. Microsoft julkaisi 25. lokakuuta 2026 .NETin erikoispäivitykset Brotli-dekooderin puskurin ylivuodon korjaamiseksi; haavoittuvuuden tunniste on CVE-2026-111497. Node.js sisällytti saman haavoittuvuuden korjauksen 21. lokakuuta erilliseen tietoturvajulkaisuun. Kehittäjän ensimmäinen askel on selvittää ulkoisen datan kulkureitti dekooderille ja sen jälkeen päivittää ajonaikainen ympäristö sekä rakentaa tai käynnistää sovellus uudelleen.

Microsoftin kuvauksen mukaan .NET-haavoittuvuus voi antaa todentamattomalle hyökkääjälle mahdollisuuden lukea tai vahingoittaa prosessin muistia, mikä voi johtaa tietojen paljastumiseen, palvelunestoon tai oikeuksien korottamiseen. Korjaukset on julkaistu .NET 8-, 9- ja 10-versioille sekä .NET 11 Release Candidate 3:lle. .NET 8:n versiot ovat runtime 8.0.33 ja SDK 8.0.133 tai 8.0.427. .NET Framework ei ole haavoittuvuuden piirissä.

Missä haavoittuvuus voi tulla kyseeseen

Riski syntyy, kun sovellus välittää epäluotetun Brotli-virran haavoittuvalle dekooderille. .NETissä näin voi käydä ASP.NET Coren pyyntöjen purkamistoiminnon käytössä, HttpClientin vastausten automaattisessa purkamisessa tai System.IO.Compression-rajapinnan suorassa kutsussa, esimerkiksi BrotliStream- ja BrotliDecoder-luokkia käytettäessä. .NETin suosituksessa luetellaan nämä reitit ja todetaan, että saapuvien pyyntöjen purku ja vastausten automaattinen purku ovat oletusarvoisesti pois käytöstä.

Pakettien inventointi on vasta tarkistuksen alku. Etsi middleware- ja HTTP-asiakasohjelmien asetukset, suorat dekooderikutsut sekä kolmannen osapuolen komponentit, jotka vastaanottavat pakattua dataa. Selvitä, tuleeko tällaista dataa asiakkailta, webhookeista, välityspalvelimilta tai ulkoisista rajapinnoista ja mitä koko- ja käsittelyaikarajoituksia purkua edeltää. Näin voit tunnistaa, missä haavoittuva koodi saa ulkopuolelta hallittavaa dataa.

.NETin päivittäminen

Asenna käytössä olevalle versiolinjalle tarkoitettu päivitys: .NET 8 — 8.0.33, .NET 9 — 9.0.22 ja .NET 10 — 10.0.14; .NET 11 — Release Candidate 3. Framework-dependent-sovelluksissa asenna päivitetty runtime ja käynnistä sovellus uudelleen. Self-contained-sovellukset on rakennettava ja julkaistava uudelleen: isäntäkoneen runtimen päivitys ei korvaa sovelluksen mukana toimitettua kopiota. Rakenna kontit uudelleen ja ota ne käyttöön päivitetyistä .NET-peruskuvista.

Käytä myös NativeAOT-sovellusten uudelleenjulkaisussa päivitettyjä SDK- ja runtime-paketteja. Jos korjausta ei vielä voi ottaa käyttöön, poista Brotli tilapäisesti käytöstä tunnistetuissa sisääntuloreiteissä, jotka vastaanottavat epäluotettua dataa. Testaa tavalliset pyynnöt ja integraatiot: pakkauksen poistaminen käytöstä voi vaikuttaa asiakkaisiin, jotka lähettävät pakattuja runkoja.

Tarkista Node.js ja järjestelmäriippuvuudet

Node.js-projekti ilmoitti haavoittuvuudesta 21. lokakuuta: haavoittuva dekooderi sisältyy Node.js:n versioihin 22.x, 24.x ja 26.x. Node.js:n tietoturvajulkaisussa korjatuiksi versioiksi ilmoitetaan vastaavasti 22.23.4, 24.22.1 ja 26.12.1. Päivitä käyttämäsi tuettu versihaara ja käynnistä palvelu uudelleen. Projektin kuvauksen mukaan ongelma ilmenee, kun sovellus purkaa hyökkääjän toimittamaa dataa node:zlib-moduulilla; muistin vioittuminen voi johtaa kaatumiseen, muistin sisällön paljastumiseen tai koodin etäsuoritukseen.

Tarkista myös riippuvuudet, jotka toimitetaan erillään järjestelmän Node.js- tai .NET-asennuksesta. Vertaa Brotli-versioita konteissa ja koontitiedostoissa ja toista tarkistus käyttöönoton jälkeen. Kiinnitä CI-putkessa päivitetty peruskuva ja sisällytä haavoittuvien kirjastoversioiden valvonta tavalliseen koontiprosessiin.

Toimintaohje lyhyesti

1. Luetteloi Brotlia käyttävät sovellukset, SDK:t, runtimet, kontit ja NativeAOT-koonnit.
2. Etsi kohdat, joissa ulkoinen data kulkee automaattisen tai suoran dekoodauksen kautta.
3. Päivitä .NET, Node.js ja erikseen toimitettavat kirjastot korjattuihin versioihin; rakenna itsenäiset sovellukset ja kontit uudelleen.
4. Käynnistä prosessit uudelleen ja tarkista versiot käynnissä olevasta ympäristöstä, älä vain projektitiedostoista.
5. Rajoita epäluotetun Brotli-syötteen käsittelyä tunnistetuilla haavoittuvilla reiteillä, kunnes korjaus on otettu käyttöön.

Prioriteetti riippuu kahdesta tekijästä: onko käytössä haavoittuva komponentti ja voiko sille toimittaa erityisesti muodostetun pakatun virran. Päivitys korjaa virheen, ja sisääntuloreittien kartoittaminen auttaa varmistamaan, että korjaus on käytössä prosesseissa, itsenäisissä koonneissa ja konteissa.