Microsoft vient de publier des correctifs de sécurité exceptionnels pour .NET. Ils corrigent une vulnérabilité dans Brotli, un algorithme de compression très répandu, qui expose certaines applications à des attaques à distance.
Les correctifs se succèdent depuis plusieurs jours autour d'une même faille de sécurité. Le 21 octobre dernier, les équipes de Node.js et les développeurs de Brotli ont corrigé CVE-2026-111497, une vulnérabilité critique dans le décodeur de cet algorithme de compression conçu par Google pour réduire la taille des données échangées sur le web. Surnommée Node2Shell ou Broccoli2Shell, elle touche aussi .NET, la plateforme de Microsoft sur laquelle reposent de nombreux logiciels et services web, ce qui a contraint Redmond à publier des patchs d'urgence quatre jours plus tard. En cause, une erreur de gestion de la mémoire dont les conséquences peuvent être particulièrement graves pour les applications vulnérables.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Des données compressées piégées pour corrompre la mémoire
Dans le détail, un attaquant peut transmettre à une application .NET des données compressées avec Brotli qu'il a volontairement malformées, par exemple dans une requête web. Si l'application accepte de les décompresser, le décodeur intégré à .NET peut poursuivre le traitement malgré l'erreur et écrire au-delà de la zone de mémoire qui lui est réservée. Cette écriture hors limites (out-of-bounds write) peut faire planter le programme, exposer des informations sensibles ou permettre à l'attaquant d'obtenir des privilèges supplémentaires sur le système.
L'attaque peut être menée à distance, sans authentification ni intervention de la victime. Le 22 octobre, les chercheurs d'Imperva ont d'ailleurs réussi à exploiter cette même faille pour exécuter du code sur une version vulnérable de Node.js. En transmettant des données Brotli piégées à leur application de test, ils sont parvenus à lui faire créer un fichier sur le serveur, alors que son code ne prévoyait aucune action de ce type. En remplaçant cette instruction par d'autres, un pirate pourrait accéder aux données sensibles et aux secrets utilisés par l'application, ou lancer d'autres commandes avec les droits dont elle dispose.
Un risque qui dépend de la configuration des applications .NET
L'exposition dépend de la manière dont les applications .NET utilisent Brotli. Certains serveurs ASP.NET Core peuvent décompresser les requêtes qu'ils reçoivent, tandis que des logiciels utilisant HttpClient peuvent traiter automatiquement les réponses compressées. D'autres applications font directement appel aux fonctions Brotli de .NET. Dans les deux premiers cas, les développeurs doivent avoir activé ces fonctions, désactivées par défaut. La vulnérabilité concerne donc les applications qui décompressent des données qu'un attaquant peut contrôler, tandis que l'ancien environnement .NET Framework n'est pas affecté.
Microsoft a publié les versions 8.0.33, 9.0.22 et 10.0.14 de .NET, ainsi que la troisième Release Candidate de .NET 11, pour corriger la faille. Les équipes concernées doivent installer ces mises à jour et redémarrer leurs applications. Lorsque celles-ci embarquent leur propre environnement .NET, elles doivent également les recompiler et les redéployer pour intégrer le correctif.
En attendant, les administrateurs en incapacité d’appliquer immédiatement les patchs peuvent désactiver la décompression Brotli des données provenant de sources non fiables.
