Brotli-Schwachstelle CVE-2026-111497: Notfall-Updates für Node.js, Python und .NET
Dieser Artikel wurde bereits 2x gelesen...
Eine Schwachstelle in der weit verbreiteten Brotli-Dekomprimierung betrifft inzwischen mehrere Software-Ökosysteme. Nach Sicherheitsupdates für Node.js und Python hat Microsoft am 25. Oktober 2026 außerplanmäßige Aktualisierungen für .NET veröffentlicht. Für kommunale IT-Verantwortliche ist das ein Anlass, nicht nur einzelne Server, sondern auch Anwendungen und Abhängigkeiten mit Brotli-Unterstützung zu prüfen.
Was hinter CVE-2026-111497 steckt
Brotli ist ein verlustfreies Kompressionsverfahren, das unter anderem für Webinhalte eingesetzt wird. Die als CVE-2026-111497 geführte Schwachstelle liegt im Decoder, also beim Entpacken speziell präparierter Daten. Laut Node.js-Projekt kann ein fehlerhafter Blockwechsel dazu führen, dass der Streaming-Decoder über das Ende eines internen Puffers hinaus schreibt. Je nach Anwendungskontext kann das einen Absturz, die Offenlegung oder Beschädigung von Prozessspeicher und möglicherweise die Ausführung von Schadcode ermöglichen. Die Angriffsbedingungen und Folgen unterscheiden sich je nach betroffener Laufzeit und konkreter Nutzung; ein Update sollte daher nicht durch pauschale Annahmen ersetzt werden.
Mehr als ein Node.js-Problem
Bekannt wurde die Lücke zunächst im Umfeld von Node.js und wurde als Node2Shell beziehungsweise Broccoli2Shell bezeichnet. Betroffen sind laut dem offiziellen Node.js-Hinweis die Release-Zweige 22.x, 24.x und 26.x. Sicherheitskorrekturen wurden für diese Versionen bereitgestellt. Auch Python-Pakete, die den betroffenen Brotli-Decoder einbinden, sowie weitere Programme mit derselben C-Bibliothek können betroffen sein. Die Namen HTTP2Shell und Broccoli2Shell verweisen auf dieselbe zugrunde liegende Schwachstelle, nicht zwingend auf identische Angriffspfade in allen Produkten.
Die Reichweite erklärt sich daraus, dass Brotli nicht nur als eigenständige Anwendung installiert wird: Bibliotheken können den Decoder in Laufzeitumgebungen, Serverkomponenten und andere Software einbetten. Deshalb reicht eine Suche nach einem Paket namens „brotli“ auf dem Betriebssystem nicht immer aus. Auch Container-Images, gebündelte Abhängigkeiten und Anwendungen mit eigener Laufzeit sollten in die Bestandsaufnahme einbezogen werden.
Microsoft veröffentlicht außerplanmäßige .NET-Updates
Microsoft hat am 25. Oktober Sicherheitsupdates außerhalb des regulären Veröffentlichungszyklus für .NET 8, .NET 9, .NET 10 und .NET 11 Release Candidate 3 bereitgestellt. Für CVE-2026-111497 beschreibt Microsoft einen Pufferüberlauf bei der Verwendung des Brotli-Dekompressionsalgorithmus. Betroffen sind laut Hersteller alle Plattformen. Besonders relevant ist die Schwachstelle, wenn Anwendungen Brotli-komprimierte Daten verarbeiten – etwa über ASP.NET-Core-Request-Dekomprimierung, automatische Antwort-Dekomprimierung in HttpClient oder die Brotli-APIs aus System.IO.Compression. Die Request- und automatische Antwort-Dekomprimierung sind laut Microsoft standardmäßig nicht aktiviert; Anwendungen können die Brotli-APIs jedoch direkt verwenden.
Das .NET-Update enthält außerdem eine Korrektur für CVE-2026-114148, ein separates Problem mit Besitzinformationen in bestimmten Linux-Tarball-Distributionen. Es ist nicht mit der Brotli-Lücke gleichzusetzen. Microsoft empfiehlt, die bereitgestellten Aktualisierungen zeitnah einzuspielen und die konkreten Hinweise für die eingesetzte .NET-Version und Installationsart zu beachten.
Quellen
0 Kommentare