TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Microsoft ปล่อย security update แบบ out-of-band (OOB) สำหรับ .NET เพื่อแก้ไขช่องโหว่ระดับ Critical ใน Brotli decoder ที่รู้จักในชื่อ Broccoli2Shell, Node2Shell หรือ HTTP2Shell พร้อมแนะนำให้อัปเดตโดยเร็วที่สุด
ช่องโหว่นี้มีหมายเลข CVE-2026-111497 เกิดจาก out-of-bounds write ใน Brotli decoder ซึ่งทำหน้าที่คลายการบีบอัดข้อมูลที่ใช้ Brotli อัลกอริทึมบีบอัดข้อมูลแบบ lossless ของ Google ที่ใช้งานอย่างแพร่หลาย ช่องโหว่นี้ส่งผลกระทบต่อทั้ง HTTP client และ server รวมถึงแอปพลิเคชันและเครื่องมืออื่นที่ใช้ Brotli implementation ที่มีช่องโหว่ ผู้โจมตีที่ไม่มีสิทธิ์ใดๆ สามารถส่ง Brotli-compressed stream ที่สร้างขึ้นมาโดยเฉพาะ เพื่อทำให้ระบบ crash หรือเกิด memory leak และในบางกรณีอาจรันโค้ดจากระยะไกล (Remote Code Execution) ได้บนอุปกรณ์ที่ใช้ Brotli binary หรือ library ที่มีช่องโหว่
Advisory ของ Microsoft ระบุว่าผู้โจมตียังสามารถใช้ช่องโหว่นี้ยกระดับสิทธิ์จากระยะไกล (privilege escalation) บนระบบที่ติดตั้ง .NET ที่ยังไม่ได้แพตช์และใช้การตั้งค่าที่ไม่ใช่ค่าเริ่มต้น โดยทีม .NET อธิบายว่าแอปพลิเคชันที่อาจได้รับผลกระทบคือแอปพลิเคชันที่ประมวลผลข้อมูล Brotli ผ่าน ASP.NET Core request decompression, HttpClient automatic response decompression หรือ System.IO.Compression Brotli API ทั้งนี้ Brotli decompression ไม่ได้เปิดใช้งานเป็นค่าเริ่มต้นใน .NET หรือ ASP.NET Core ที่ติดตั้งใหม่ แอปพลิเคชันต้องเลือกเปิด ASP.NET Core request decompression หรือ HttpClient response decompression เอง หรือเรียกใช้ Brotli decompression API ของ .NET โดยตรง
Microsoft ออก OOB update สำหรับ .NET 8, .NET 9 และ .NET 10 รวมถึง .NET 11 Release Candidate 3 โดยเวอร์ชันที่แก้ไขแล้วมีดังนี้
- .NET 8 อัปเดตเป็น 8.0.33
- .NET 9 อัปเดตเป็น 9.0.22
- .NET 10 อัปเดตเป็น 10.0.14
- .NET 11 อัปเดตเป็น Release Candidate 3
แม้จะมี proof-of-concept (PoC) exploit ของ Broccoli2Shell เผยแพร่บน GitHub แล้ว แต่ยังไม่มีรายงานการโจมตีจริง ขณะที่เว็บไซต์ที่ติดตามช่องโหว่นี้โดยเฉพาะเตือนว่าการอัปเดต Brotli library ของระบบไม่ได้แก้ความเสี่ยงในแอปพลิเคชันที่ bundle Brotli library ของตัวเองมาด้วย สำหรับองค์กรที่ยังไม่สามารถอัปเดตได้ทันที ควรบล็อก request ที่บีบอัดด้วย Brotli ผ่าน proxy หรือ firewall หรือปิด Brotli decoding ไว้ชั่วคราวจนกว่าจะติดตั้งแพตช์ได้
