Microsoft corrige CVE-2026-111497 no .NET

A Microsoft publicou uma atualização de segurança fora de banda para o .NET que corrige a CVE-2026-111497, uma vulnerabilidade de estouro de buffer no algoritmo de descompressão Brotli. Segundo a empresa, um atacante não autenticado poderia ler ou corromper a memória do processo, com possíveis efeitos de divulgação de informações, negação de serviço ou elevação de privilégios.

Quais versões a Microsoft corrigiu?

A Microsoft informou como versões corrigidas o .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 e .NET 11 RC3, no aviso publicado em 25 de outubro de 2026. A exposição atinge aplicações que habilitam a descompressão Brotli ou que usam explicitamente suas APIs para processar dados controlados por um atacante.

O que outras organizações disseram sobre o alcance técnico?

A SecurityWeek descreveu a CVE-2026-111497 como uma escrita fora dos limites no decodificador Brotli, com capacidade de provocar corrupção de memória, vazamento de conteúdo da memória, queda do processo ou execução de código arbitrário por meio de entradas especialmente preparadas. A Red Hat, por sua vez, disse que o defeito está no tratamento da mudança de tipo de bloco em c/dec/decode.c e que a exposição também pode ocorrer por conteúdo HTTP negociado com Content-Encoding: br ou por APIs do Node.js como zlib e fetch(), mesmo sem invocar uma rotina Brotli de forma direta.

Quais plataformas ficaram sob revisão paralela?

A vulnerabilidade também afetou Node.js e pacotes de Python, que publicaram correções antes da Microsoft, segundo a SecurityWeek. A Universidade da Califórnia em Berkeley alertou que a exploração pode causar extração de memória, execução remota de código ou negação de serviço quando um servidor descompacta dados Brotli maliciosos, e listou como afetados Node.js 10.16.0 a 22.23.3, 23.0.0 a 24.22.0 e 25.0.0 a 26.12.0, além da extensão Python brotli 1.0.4 a 1.2.0 e as bibliotecas C++ google.brotli/libbrotli 1.0.3 a 1.0.9.

Berkeley também recomendou atualizar para Node.js 22.23.4, 24.22.1 ou 26.12.1, Python brotli 1.2.1 e libbrotli 1.0.10 ou 1.1.1. A Tenable afirmou que o Google publicou as versões corrigidas do Brotli em 21 de outubro de 2026, no mesmo dia em que o Node.js divulgou publicamente a vulnerabilidade, e que, para explorar a falha, o alvo precisa descompactar um fluxo Brotli controlado pelo atacante.

A Amazon Web Services registrou uma atualização para o Brotli no Amazon Linux 2023 sob o aviso ALAS2023-2026-3334, publicada em 24 de outubro de 2026 e marcada como corrigida. A Palo Alto Networks situou o alcance no Google Brotli 1.0.3 a 1.2.0 em todas as plataformas e advertiu que um atacante remoto não autenticado pode corromper memória adjacente do estado do decodificador, divulgar conteúdo sensível, provocar negação de serviço ou potencialmente executar código arbitrário por meio de um fluxo Brotli manipulado.