OpenAI披露Brotli未授权远程代码执行漏洞

OpenAI称其红队演练中发现，广泛用于 Node.js、Bun、Envoy 等软件的 Brotli 压缩库存在未认证远程代码执行漏洞，攻击者发送或回复恶意压缩数据即可在受影响系统上运行自己的代码。 OpenAI称，该根因问题已于2月在 Brotli 源码中修复，但当时未意识到它构成安全漏洞，此后也没有新版本发布。OpenAI已向 Brotli 及 Node.js 等下游项目披露，Brotli 发布了新版本并公开 CVE，Node.js 等已发布或正在发布安全更新。 由于 Brotli 被内置于其他软件，包含该库的软件需一并更新，这些软件的用户也需跟进更新。

AI 根据报道生成 · 56 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。