Microsoft phát hành bản vá bảo mật .NET khẩn cấp cho lỗi Brotli của Google
"Microsoft released emergency security updates for .NET versions 8, 9, 10, and 11 to address a buffer overflow vulnerability (CVE-2026-111497) in Google's Brotli compression technology. This vulnerability could allow unauthenticated attackers to read or corrupt process memory, potentially leading to information disclosure, denial of service, or privilege escalation. Patches are also available for Node.js, Python, and other projects."
Lỗ hổng tràn bộ đệm trong Brotli có thể cho phép kẻ tấn công đọc hoặc làm hỏng bộ nhớ quy trình, dẫn đến rò rỉ thông tin hoặc từ chối dịch vụ.
Doanh nghiệp sử dụng các công nghệ bị ảnh hưởng có thể gặp phải gián đoạn dịch vụ hoặc mất dữ liệu. Việc cập nhật bản vá bảo mật là rất quan trọng để giảm thiểu rủi ro.
Microsoft vừa phát hành bản cập nhật bảo mật ngoài chu kỳ (OOB) cho .NET phiên bản 8, 9, 10 và 11 để khắc phục lỗ hổng tràn bộ đệm (CVE-2026-111497) trong công nghệ nén Brotli của Google. Lỗ hổng này có thể cho phép kẻ tấn công chưa xác thực đọc hoặc làm hỏng bộ nhớ quy trình, dẫn đến rò rỉ thông tin, từ chối dịch vụ hoặc leo thang đặc quyền.
Đây là một vấn đề đáng quan tâm với các kỹ sư và doanh nghiệp Việt Nam sử dụng .NET, vì nó có thể ảnh hưởng đến tính bảo mật của ứng dụng và dữ liệu. Các bản vá cũng có sẵn cho Node.js, Python và các dự án khác.
Rahul Bhandari, quản lý chương trình cấp cao của Microsoft, cho biết lỗ hổng tràn bộ đệm trong Brotli, được đánh giá 8.1 theo CVSS v3.1, có thể cho phép kẻ tấn công đọc hoặc làm hỏng bộ nhớ quy trình. https://learn.microsoft.com/en-us/dotnet/security/announcements/cve-2026-111497
Một số chuyên gia gọi lỗ hổng này là Broccoli2Shell hoặc Node2Shell. Microsoft xác nhận đã có các bản khai thác thử nghiệm được tạo ra, nhưng chưa có bằng chứng về việc khai thác thành công trong thực tế. Tuy nhiên, đánh giá khả năng khai thác của Microsoft là “Khả năng khai thác cao”.
Lỗ hổng Broccoli2Shell được Node.js công bố vào ngày 21 tháng 10, cùng với việc phát hành bản vá cho 10 lỗ hổng khác. Node.js ghi nhận Khai Tran và Sylvie Mayer của OpenAI’s Codex Security là người phát hiện ra lỗ hổng này. OpenAI cho biết lỗi gốc đã được sửa trong mã nguồn Brotli từ tháng 2, nhưng mới chỉ được xác định là lỗ hổng bảo mật và công bố vào tháng 10.
Kẻ tấn công có thể khai thác lỗ hổng bằng cách cung cấp dữ liệu nén Brotli độc hại thông qua yêu cầu được tạo đặc biệt. Các dự án khác như Bun, Envoy, Istio cũng đã phát hành bản vá. JFrog cũng phát hiện ra một khai thác ảnh hưởng đến FFmpeg thông qua hình ảnh JPEG XL được tạo đặc biệt. https://www.theregister.com/2026/10/26/microsoft_releases_emergency_net_security_fixes/
Wiz, một công ty nghiên cứu bảo mật, cho biết 91% môi trường đám mây sử dụng các thành phần dễ bị tấn công bởi lỗ hổng Brotli và 82% môi trường đám mây có các phiên bản Node.js được phơi bày công khai. Việc khai thác thành công có thể dẫn đến xâm phạm ứng dụng, truy cập thông tin nhạy cảm, gián đoạn dịch vụ hoặc thực thi mã độc hại.
Câu hỏi thường gặp
CVE-2026-111497 là gì?
CVE-2026-111497 là mã định danh cho một lỗ hổng tràn bộ đệm trong công nghệ nén Brotli của Google. Lỗ hổng này có thể cho phép kẻ tấn công đọc hoặc làm hỏng bộ nhớ quy trình.
Các phiên bản .NET nào bị ảnh hưởng?
Các phiên bản .NET 8, 9, 10 và 11 đều bị ảnh hưởng bởi lỗ hổng này. Microsoft đã phát hành bản vá cho tất cả các phiên bản này.
Làm thế nào để bảo vệ hệ thống khỏi lỗ hổng này?
Các doanh nghiệp nên cập nhật lên các phiên bản .NET, Node.js, Python mới nhất. OpenAI cũng khuyến nghị chặn dữ liệu nén Brotli không đáng tin cậy nếu có thể.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng Brotli này có tác động đáng kể đến các doanh nghiệp Việt Nam sử dụng các công nghệ bị ảnh hưởng, đặc biệt là các ứng dụng web và dịch vụ đám mây. Các doanh nghiệp nên ưu tiên cập nhật lên các phiên bản .NET, Node.js, Python mới nhất. Điều đáng chú ý là lỗ hổng này không chỉ giới hạn ở .NET mà còn ảnh hưởng đến nhiều dự án khác, đòi hỏi sự phối hợp trong việc vá lỗi trên toàn hệ thống.