Microsoft, kritik Brotli açığı için acil .NET güncellemeleri yayımladı

Microsoft, geçtiğimiz Pazar günü .NET, Visual Studio ve PowerShell için acil güncellemeler yayımladı. Bu güncellemeler, OpenAI'nın Codex Güvenlik ekibi tarafından bildirilen CVE-2026-111497 kodlu bir güvenlik açığını düzeltmekte. Bu açık, Google’ın yaygın olarak kullanılan sıkıştırma kütüphanesi Brotli'deki bir bellek taşması (buffer overflow) ile ilgilidir. Node.js, Python paketleri, proxy'ler ve bu kütüphaneyi içeren diğer araçlar da düzeltmeler yayımlamaktadır.

Microsoft'un .NET blogunda yer alan açıklamaya göre, bu bellek taşması, kimliği doğrulanmamış bir saldırganın işlem belleğini okumasına veya bozmasına olanak tanıyabilir. Bu durum, bilgi sızdırma, hizmet reddi veya yetki yükselmesine yol açabilir. Güncelleme, .NET 8, 9, 10 ve .NET 11 Release Candidate 3'ü kapsamaktadır. Güvenlik güncellemesi kılavuzunda Visual Studio ve PowerShell sürümleri de yer almaktadır.

Microsoft, bu açığı .NET ve Visual Studio için kritik, PowerShell için ise önemli olarak değerlendirmektedir. Açık, kamuya açıklanmış ancak henüz istismar edilmemiştir; ancak istismar edilme olasılığının "daha yüksek" olduğu belirtilmektedir. .NET, Brotli sıkıştırmasını varsayılan olarak etkinleştirmemekte ve bu açık .NET Framework'ü etkilememektedir.

Bu güncelleme, Microsoft'un Ekim ayındaki Yaman Salı (Patch Tuesday) etkinliğinde tam olarak ele alınamayan iki düzeltmeyi tamamlamaktadır. CVE-2026-111497, Node2Shell, HTTP2Shell ve Broccoli2Shell gibi isimlerle de anılmaktadır. İlk olarak Node.js'de ortaya çıkan bu açık, araştırmacılar tarafından Brotli'nin C kodlayıcısına kadar izlenmiştir. Birçok program, bu kodlayıcıyı kendi kodlarına dahil etmektedir. Açık, Brotli 1.0.3 ile 1.2.0 arasındaki sürümleri etkilemektedir. Sürümler 1.0.10, 1.1.1 ve 1.2.1 bu açığı düzeltmektedir.

Node.js danışmanlığı, kodlayıcının geçersiz bir blok değişimini bir format hatası yerine daha fazla girdi gereksinimi olarak değerlendirdiğini belirtmektedir. Streaming kodlayıcı, Node.js'in ifade ettiği gibi, "sekiz baytlık bir iç tampona girdi baytlarını eklemeye devam etmiştir".

Bir saldırganın kötü niyetli verileri açmak için bir uygulamaya ihtiyacı vardır. Bu, uygulamanın aldığı bir sunucudan sıkıştırılmış bir yanıt veya doğrudan bir sunucuya gönderilen sıkıştırılmış bir istek olabilir. Sorunun kök nedeni, aslında Şubat ayında Brotli kaynak kodunda düzeltildi, ancak o dönemde bir güvenlik açığına yol açtığı bilinmiyordu ve Brotli'nin daha güncel bir sürümü yoktu.

Node.js ve Google, 21 Ekim'de düzeltme sürümlerini yayımladı. Aynı hafta, iki kritik PHP açığı ortaya çıkmış ve PHP, üçüncü bir açığı da duyurmuştur. Wiz adlı bir bulut güvenlik firması, blogunda bulut ortamlarının %91'inin bu açığa karşı savunmasız kaynaklar içerdiğini belirtmektedir. Ayrıca, %82'sinin kamuya açık Node.js örneklerine sahip olduğu vurgulanmaktadır.

Imperva, resmi Node.js 24.22.0 görüntüsü üzerinde kendi kodunu çalıştırmış, ancak saldırının her zaman başarılı olmadığını belirtmiştir. GitHub'daki bir kanıt konsepti yalnızca kasten zayıflatılmış bir sürüme karşı çalışmaktadır. Araştırmacılar, bu açığın yalnızca programları çökertme potansiyeline sahip olduğunu ileri sürmektedir. Şu ana kadar bu açığı kullanan herhangi bir saldırı bildirilmemiştir.

Bun, Envoy, Istio ve Python'un Brotli ve brotlicffi paketleri artık düzeltmelere sahiptir. JFrog, FFmpeg, ClickHouse ve Apache Arrow'da da açığı bulmuştur. Bir kamu takipçisi, DuckDB, Apache Arrow, 7-Zip-zstd, p7zip ve EDK II'yi yamanmamış olarak listelemektedir. Sistemin Brotli kütüphanesini güncellemenin, kendi kopyasını içeren uygulamaları düzeltmeyeceği uyarısında bulunmaktadır. Güncelleme sonrasında ekiplerin hizmetleri yeniden başlatması ve konteyner görüntülerini yeniden oluşturması gerekmektedir.

Sonuç olarak, Microsoft'un bu güncellemeleri, kritik bir güvenlik açığını kapatmak için önemli bir adım olarak öne çıkmaktadır. Kullanıcıların, güncellemeleri uygulamaları ve sistemlerini korumak için gerekli önlemleri almaları önerilmektedir.