OpenAIs Red-Teaming-Übung mit KI Agenten entdeckte eine nicht authentifizierte Schwachstelle zur Remote-Codeausführung in der Brotli-Kompressionsbibliothek, die in Software wie Node.js, Bun und Envoy enthalten ist. Die Schwachstelle ermöglicht es Angreifern, Code auf betroffenen Systemen durch das Senden bösartiger komprimierter Daten auszuführen, was sowohl Server, die komprimierte Eingaben akzeptieren, als auch Clients wie Curl mit aktivierter Kompression betrifft.
Die eigentliche Ursache wurde im Februar im Brotli-Quellcode behandelt, obwohl sie zunächst nicht als Sicherheitsproblem erkannt wurde, was zur Offenlegung an Brotli und nachgelagerte Projekte führte. Node.js und andere haben laut OpenAI-Ankündigung Sicherheitsupdates veröffentlicht oder bereiten sie vor, wobei Brotli laut Ankündigung von OpenAI neue Versionen und einen CVE herausgibt.