Perbaikan Brotli Microsoft .NET Bergabung dalam Analisis Node.js Python

Pustaka kompresi seharusnya menjadi “pipa” internet yang bekerja diam-diam, mengambil data berukuran besar dan membuatnya tidak terlalu menyakitkan bagi tagihan bandwidth. Lalu salah satunya mengalami celah korupsi memori, dan tiba-tiba pipa itu masuk ke kanal insiden sambil memakai name tag CVE kecil. Kasus terbaru adalah Brotli, algoritma kompresi Google yang digunakan secara luas, dan Microsoft kini telah mendorong perbaikan darurat .NET ke dalam parade patch yang sudah padat.

Ini bukan jenis pemakaian ulang ekosistem yang menyenangkan, ketika semua orang mendapat performa gratis dan presentasi konferensi yang elegan. Ini jenis yang satunya lagi, ketika komponen rentan yang sama bergema melalui runtime, klien, server, dan layanan khusus apa pun yang seseorang bangun tiga kuartal lalu dan diberi nama seperti rasi bintang. Pelajaran praktisnya membosankan, yang berarti pelajaran itu penting: patch runtime, tetapi ketahui juga apa yang dibundel oleh aplikasi Anda.

Bug yang bersembunyi di lapisan kompresi

Menurut .NET Blog milik Microsoft, perusahaan tersebut merilis pembaruan keamanan out-of-band untuk .NET 8, .NET 9, .NET 10, dan .NET 11 Release Candidate 3, dengan rekomendasi untuk memperbarui sesegera mungkin. Microsoft mengatakan rilis ini menangani CVE-2026-111497 dalam algoritma dekompresi Brotli, bersama dengan CVE-2026-114148, masalah kepemilikan tarball .NET di Linux yang memengaruhi .NET 8, 9, 10, dan 11. Dalam kabar berguna dari departemen “tidak semuanya terbakar”, Microsoft juga mengatakan .NET Framework tidak terdampak.

Sergiu Gatlan dari BleepingComputer melaporkan bahwa CVE-2026-111497 adalah celah dengan tingkat keparahan kritis yang disebabkan oleh out-of-bounds write pada decoder Brotli. Terjemahannya: ketika kode yang rentan memperluas data terkompresi, input yang cacat dapat mendorong decoder untuk menulis ke tempat yang tidak semestinya, dan begitulah bug penanganan data yang rapi naik kelas menjadi korupsi memori proses. Catatan patch jarang punya soundtrack, tetapi yang satu ini punya garis bass.

Di mana Microsoft mengatakan aplikasi .NET terekspos

Menurut .NET Blog milik Microsoft, aplikasi dapat terdampak ketika memproses data terkompresi Brotli melalui dekompresi request ASP.NET Core, dekompresi response otomatis HttpClient, atau API Brotli System.IO.Compression. Itu adalah album greatest hits ekosistem developer: request web masuk, klien HTTP keluar, dan API kompresi langsung. Kabar baiknya, menurut Microsoft, dekompresi request dan dekompresi response otomatis tidak diaktifkan secara default.

BleepingComputer juga melaporkan bahwa exploit proof-of-concept untuk celah ini telah dipublikasikan di GitHub, sementara belum ada eksploitasi berbahaya di dunia nyata yang dilaporkan. Perbedaan itu penting. Pelaku ancaman tidak membutuhkan karpet merah, tetapi kode proof-of-concept publik menurunkan usaha yang diperlukan untuk menguji, menyesuaikan, dan mengotomatiskan eksploitasi terhadap target yang terekspos. Jika Anda menjalankan layanan .NET yang menghadap internet dan menerima konten terkompresi, di sinilah model risiko berhenti menjadi teoretis dan mulai meminta jendela pemeliharaan.

Riak ekosistem adalah cerita sebenarnya

Liputan terpisah BleepingComputer tentang isu HTTP2Shell yang lebih luas melaporkan versi yang sudah dipatch di Google Brotli, Node.js, Python Brotli, dan Python brotlicffi. Laporan yang sama mengatakan perangkat lunak yang berpotensi terdampak mencakup klien HTTP Python seperti urllib3[brotli], requests, httpx, dan aiohttp[speedups] ketika dikonfigurasi dengan decoder Brotli yang rentan, plus aplikasi dan alat lain yang menggunakan implementasi Brotli rentan. Jadi ya, kerentanan ini punya jangkauan seperti dependensi yang semua orang undang ke pesta dan tidak ada yang menyangka akan mulai mengunyah kabel.

Inilah alasan pembaruan runtime sama pentingnya dengan patch aplikasi. Sebuah proyek mungkin tidak pernah memanggil Brotli secara langsung di kodenya sendiri, tetapi tetap mewarisi risiko melalui framework, pustaka HTTP, paket speedup opsional, atau dependensi native yang dibundel. Rantai pasok perangkat lunak modern tidak terlalu mirip silsilah keluarga yang rapi, dan lebih mirip obrolan grup tempat satu asumsi yang kompromi membangunkan semua orang.

Apa arti sebenarnya bagi Anda

Menurut BleepingComputer, memperbarui pustaka Brotli sistem mungkin tidak sepenuhnya melindungi aplikasi yang membundel salinan pustaka mereka sendiri. Itulah detail yang sebaiknya ditempel administrator di monitor, idealnya di atas email vendor terakhir yang menjanjikan semuanya sudah tersentralisasi. Jika Anda tidak dapat menerapkan pembaruan .NET segera, BleepingComputer melaporkan bahwa mitigasi sementara mencakup pemblokiran request masuk yang terkompresi Brotli melalui proxy atau firewall, atau menonaktifkan decoding Brotli sampai patching memungkinkan.

Apa arti sebenarnya bagi Anda: perbarui runtime .NET yang masih didukung terlebih dahulu, lalu inventarisasi di mana Brotli diaktifkan atau dibundel di seluruh layanan Anda. Periksa dekompresi request ASP.NET Core, dekompresi response otomatis HttpClient, dan penggunaan langsung System.IO.Compression. Lalu lihat juga di luar Microsoft, karena Node.js, Python, dan proyek lain yang bergantung pada Brotli adalah bagian dari radius dampak yang sama.

Kesimpulan konstruktifnya bukan panik setiap kali pustaka kompresi mendapat CVE, meskipun itu menggoda bagi kita yang ditenagai kopi dan kepercayaan yang sudah kedaluwarsa. Kesimpulannya adalah memperlakukan komponen runtime bersama sebagai aset kelas satu dalam manajemen patch, bukan pemandangan latar. Pantau advisori lanjutan dari runtime bahasa dan pengelola paket, dan buat visibilitas dependensi menjadi membosankan sebelum pembaruan darurat berikutnya mencoba membuatnya terasa seru.