Microsoft Rilis Pembaruan Darurat .NET untuk Tambal Celah Kritis Brotli

Microsoft resmi merilis pembaruan keamanan .NET darurat untuk menambal kerentanan tingkat kritis yang dikenal dengan sebutan Broccoli2Shell (juga dilacak sebagai Node2Shell dan HTTP2Shell).

Dilacak di bawah identifikasi CVE-2026-111497, celah keamanan berskala tinggi ini bersumber dari masalah penulisan di luar batas (out-of-bounds write) pada dekoder Brotli, yakni algoritma kompresi lossless populer yang dikembangkan oleh Google. Kerentanan HTTP2Shell ini memengaruhi klien dan server HTTP, serta berbagai aplikasi maupun infrastruktur yang mengandalkan implementasi dekoder Brotli.

Eksploitasi yang berhasil memungkinkan penyerang tanpa hak istimewa (unprivileged attackers) mengirimkan aliran data terkompresi Brotli yang telah dimanipulasi untuk memicu kerusakan sistem (crash), memicu kebocoran memori, hingga mendapatkan akses eksekusi kode jarak jauh (Remote Code Execution / RCE) pada perangkat yang menjalankan pustaka Brotli rentan.

Menurut peringatan resmi keamanan Microsoft, penyerang juga dapat mengeksploitasi celah ini untuk melakukan eskalasi hak istimewa jarak jauh (remote privilege escalation) pada server atau sistem dengan instalasi .NET yang belum ditambal dan menggunakan konfigurasi non-bawaan.

“Aplikasi dapat terdampak jika mereka memproses data terkompresi Brotli melalui dekompresi permintaan ASP.NET Core, dekompresi respons otomatis HttpClient, atau melalui API System.IO.Compression Brotli,” jelas pihak Microsoft.

Namun, fitur dekompresi Brotli ini tidak aktif secara bawaan (default) pada instalasi standar .NET maupun ASP.NET Core. Aplikasi hanya akan rentan jika administrator mengaktifkan dekompresi permintaan ASP.NET Core atau HttpClient secara manual, atau jika aplikasi tersebut memanggil API dekompresi Brotli bawaan .NET secara spesifik.

Ketersediaan Pembaruan Out-of-Band (OOB) dan Mitigasi

Untuk mengatasi ancaman ini, Microsoft segera merilis pembaruan keamanan out-of-band (OOB) dan sangat menyarankan para administrator untuk melakukan pembaruan sesegera mungkin. Berikut adalah daftar versi .NET beserta pembaruan aman yang telah dirilis:

• .NET 8: Perbarui ke versi 8.0.33 (.NET 8 SDK and Runtime)
• .NET 9: Perbarui ke versi 9.0.22 (.NET 9 SDK and Runtime)
• .NET 10: Perbarui ke versi 10.0.14 (.NET 10 SDK and Runtime)
• .NET 11: Perbarui ke versi Release Candidate 3 (.NET 11 SDK and Runtime)

Meskipun eksploitasi proof-of-concept (PoC) untuk Broccoli2Shell telah dipublikasikan di repositori GitHub, hingga saat ini belum ada laporan mengenai eksploitasi aktif di alam liar.

Portal pelacak kerentanan daring turut memperingatkan bahwa sekadar memperbarui pustaka Brotli di tingkat sistem operasi (OS) tidak akan menghilangkan risiko pada aplikasi-aplikasi independen yang memaketkan salinan pustaka Brotli mereka sendiri di dalam sistem.

Bagi pengelola server yang belum dapat menerapkan pembaruan .NET ini dengan segera, langkah mitigasi yang disarankan adalah memblokir lalu lintas permintaan HTTP terkompresi Brotli yang masuk menggunakan proksi atau firewall, atau menonaktifkan sementara fitur dekoding Brotli di tingkat aplikasi hingga pembaruan siap digulirkan.

Sumber: Microsoft Security Advisory