Microsoft, .NET için Brotli açığına karşı acil yama yayımladı

Google'ın Brotli sıkıştırma kütüphanesindeki bellek bozulması açığı (CVE-2026-111497) uzaktan kod çalıştırmaya yol açabiliyor; Microsoft .NET 8, 9, 10 ve 11 RC3 için güncelleme çıkardı.

Google'ın Brotli açma kütüphanesinde bulunan ve CVE-2026-111497 olarak izlenen bellek bozulması açığı için Microsoft, .NET sürümleri için acil güvenlik güncellemeleri yayımladı. Açık, kötü hazırlanmış bir sıkıştırılmış veri akışıyla bir sürecin çökmesine, bellek sızıntısına ve belirli yapılandırmalarda uzaktan kod çalıştırılmasına yol açabiliyor. Microsoft, varsayılan dışı ayarlara sahip yamasız .NET sistemlerinde ayrıcalıkların uzaktan yükseltilebileceğini belirtiyor.

Etkilenen Brotli sürümleri 1.0.3'ten 1.0.9'a, 1.1.0 ve 1.2.0'a kadar uzanıyor. Aynı hata, savunmasız çözücüyü kullanan Node.js ve Python HTTP istemcilerine de ulaşıyor. Microsoft'un düzeltilmiş sürümleri .NET 8.0.33, 9.0.22 ve 10.0.14; .NET 11 için ise Release Candidate 3. Node.js tarafında 22.23.4, 24.22.1 ve 26.12.1, Brotli tarafında 1.0.10, 1.1.1 ve 1.2.1 üst akış düzeltmelerini taşıyor. Açığı kullanan genel kavram kanıtı istismarlar yayımlanmış durumda, ancak gerçek ortamda kötüye kullanım bildirilmiş değil.

Geliştiricilerin güncellemeden sonra süreçleri yeniden başlatması ve konteynerleri yeniden oluşturması gerekiyor. Hemen yama yapamayan ekipler, Brotli sıkıştırmalı gelen istekleri bir proxy ya da güvenlik duvarında engelleyebilir ya da Brotli çözmeyi devre dışı bırakabilir. Sistem kütüphanesini güncellemek, kendi kopyasını paketleyen uygulamaları kapsamadığı için bu adım ayrıca önemli.