Microsoft corrige CVE-2026-111497 en .NET

Microsoft publicó una actualización de seguridad fuera de banda para .NET que corrige CVE-2026-111497, una vulnerabilidad de desbordamiento de búfer en el algoritmo de descompresión Brotli. Según la compañía, un atacante no autenticado podría leer o corromper memoria del proceso, con posibles efectos de divulgación de información, denegación de servicio o elevación de privilegios.

¿Qué versiones corrigió Microsoft?

Microsoft indicó como versiones corregidas .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 y .NET 11 RC3, en el aviso publicado el 25 de octubre de 2026. La exposición alcanza a las aplicaciones que habilitan la descompresión Brotli o que usan explícitamente sus API para procesar datos controlados por un atacante.

¿Qué dijeron otras organizaciones sobre el alcance técnico?

SecurityWeek describió CVE-2026-111497 como una escritura fuera de límites en el decodificador Brotli, con capacidad de provocar corrupción de memoria, fuga de contenido de memoria, caída del proceso o ejecución de código arbitrario mediante entradas especialmente diseñadas. Red Hat, por su parte, precisó que el defecto está en el manejo del cambio de tipo de bloque en c/dec/decode.c y que la exposición también puede producirse por contenido HTTP negociado con Content-Encoding: br o mediante APIs de Node.js como zlib y fetch(), incluso sin invocar una rutina Brotli de forma directa.

¿Qué plataformas quedaron bajo revisión paralela?

La vulnerabilidad también afectó a Node.js y a paquetes de Python, que publicaron correcciones antes que Microsoft, según SecurityWeek. La Universidad de California, Berkeley, alertó que la explotación puede producir extracción de memoria, ejecución remota de código o denegación de servicio cuando un servidor descomprime datos Brotli maliciosos, y enumeró como afectados Node.js 10.16.0 a 22.23.3, 23.0.0 a 24.22.0 y 25.0.0 a 26.12.0, además de la extensión Python brotli 1.0.4 a 1.2.0 y las bibliotecas C++ google.brotli/libbrotli 1.0.3 a 1.0.9.

Berkeley también recomendó actualizar a Node.js 22.23.4, 24.22.1 o 26.12.1, Python brotli 1.2.1 y libbrotli 1.0.10 o 1.1.1. Tenable señaló que Google publicó las versiones corregidas de Brotli el 21 de octubre de 2026, el mismo día en que Node.js divulgó públicamente la vulnerabilidad, y que para explotar el fallo el objetivo debe descomprimir un flujo Brotli controlado por el atacante.

Amazon Web Services registró una actualización para Brotli en Amazon Linux 2023 bajo el aviso ALAS2023-2026-3334, publicada el 24 de octubre de 2026 y marcada como corregida. Palo Alto Networks ubicó el alcance en Google Brotli 1.0.3 a 1.2.0 en todas las plataformas y advirtió que un atacante remoto no autenticado puede corromper memoria adyacente del estado del decodificador, divulgar contenido sensible, provocar denegación de servicio o potencialmente ejecutar código arbitrario mediante un flujo Brotli manipulado.