Azure Functions wdraża poprawki Brotli. Trzeba sprawdzić działające aplikacje

Microsoft poinformował 26 października, że wdrażanie poprawek .NET dotyczących Brotli w Azure Functions nadal trwa. Administratorzy nie powinni zakładać, że każda instancja aplikacji otrzymała już zabezpieczenie. Nową informacją względem wcześniejszych ostrzeżeń o Node2Shell jest stan aktualizacji zarządzanej platformy Azure i obowiązki właścicieli aplikacji.

Co zmienił komunikat Microsoftu

Aktualizacja dotyczy między innymi CVE-2026-111497 w dekoderze Brotli. Microsoft wydał poprawione środowiska .NET 25 października, a dzień później opisał ich wdrażanie w Azure Functions. Dla funkcji działających w Linuksie proces pozostawał w toku; funkcje w Windows zależą od aktualizacji środowisk App Service.

Niezależne relacje branżowe potwierdzają wydanie awaryjnych poprawek Microsoftu. Sam komunikat Azure wyjaśnia dodatkowo, dlaczego dostępność poprawionego .NET nie oznacza zakończenia aktualizacji wszystkich usług chmurowych.

Które aplikacje wymagają sprawdzenia

Znaczenie mają system operacyjny, plan utrzymania funkcji i sposób dostarczenia aplikacji. Microsoft wyraźnie rozróżnia aktualizacje zarządzane przez platformę od środowisk dołączanych do aplikacji i własnych obrazów kontenerów.

Luka wymaga przetwarzania odpowiednio przygotowanych danych skompresowanych Brotli. Automatyczna dekompresja żądań i odpowiedzi nie jest domyślnie włączona. Należy więc sprawdzić rzeczywiste użycie tej funkcji w aplikacji i jej zależnościach, zamiast uznawać każdą funkcję HTTP za jednakowo narażoną.

Co zrobić teraz

• Ustal plan Azure Functions, system operacyjny i model wykonywania każdej aplikacji.
• Sprawdź wersję .NET w działającym procesie; wersja zainstalowanego zestawu SDK nie potwierdza wersji używanej przez aplikację.
• Dla wdrożeń zawierających własne środowisko przebuduj i opublikuj aplikację z poprawionymi składnikami.
• Przebuduj i ponownie wdróż własne obrazy kontenerów.
• Zweryfikuj aktywne instancje i przetestuj używane ścieżki dekompresji po aktualizacji.

Komentarz SecurHUB

W usługach zarządzanych warto jasno przypisać odpowiedzialność za platformę, zależności aplikacji i obrazy kontenerów. Audyt bezpieczeństwa chmury może pomóc sprawdzić, czy deklarowana aktualizacja obejmuje również kod rzeczywiście wykonywany w środowisku produkcyjnym.

Źródła: Microsoft Azure, SecurityWeek