Brotli-Sicherheitslücke wird laut Cyberbehörde bereits ausgenutzt

Angreifer nutzen eine Sicherheitslücke in der Kompressionsbibliothek Brotli bereits aus, berichtet die neuseeländische Cybersicherheitsbehörde in einer Warnung vom 29. Oktober. Zur Schwachstelle CVE-2026-111497 seien außerdem öffentlich verfügbare Beispiele für eine Ausnutzung bekannt. Die Behörde rät Organisationen, mögliche unbefugte Zugriffe auf betroffene Systeme zu untersuchen.

Entscheidend ist das Entpacken fremder Daten

Bei .NET bedeutet ein installiertes betroffenes Softwarepaket noch nicht automatisch, dass ein Angriff möglich ist. Microsoft knüpft das Risiko daran, dass die Anwendung vom Angreifer kontrollierte Brotli-Daten entpackt. Sowohl bei ASP.NET Core als auch bei HttpClient muss diese Verarbeitung eigens aktiviert oder über entsprechende Programmierschnittstellen genutzt werden. In der Standardkonfiguration erfolgt sie nicht automatisch. Für .NET Framework gibt Microsoft Entwarnung.

Beim Entpacken präparierter Daten kann laut der neuseeländischen Behörde ein Pufferüberlauf entstehen. Als mögliche Folgen nennt sie offengelegte Speicherinhalte und das Ausführen fremden Codes. Die ursprünglich für Node.js bekannt gewordene Lücke kann demnach auch andere Plattformen betreffen, darunter .NET und Java. Brotli wurde von Google entwickelt.

Vorhandene Updates gezielt einspielen

Microsoft hatte seinen Hinweis bereits am 25. Oktober veröffentlicht. Für die Reihen .NET 8, 9 und 10 führt das Unternehmen die korrigierten Laufzeiten 8.0.33, 9.0.22 und 10.0.14 an. Auch für die Vorabversion von .NET 11 liegt eine Korrektur vor. Nach der Aktualisierung müssen Anwendungen neu gestartet werden. Wer die Laufzeit mit seiner Anwendung ausliefert, muss diese neu bauen und erneut bereitstellen.

Die aktuelle Behördenwarnung empfiehlt eine Bestandsaufnahme der verwendeten Bibliotheken, Laufzeiten und Container. Welche Korrektur passt, richtet sich nach den Herstellerhinweisen zum jeweiligen Produkt. Fehlt noch ein Update, kommt das vorübergehende Abschalten der Brotli-Dekomprimierung als Schutzmaßnahme infrage. Betroffene Anwendungen und Container müssen nach der Korrektur neu gebaut werden.