OpenAI deckte eine Schwachstelle in der Brotli-Kompressionsbibliothek auf, die während einer Red-Teaming-Übung identifiziert wurde und weit verbreitete Software wie Node.js, Bun und Envoy betrifft.
Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, Code auf ungepatchten Systemen auszuführen, indem sie bösartige komprimierte Daten senden, was sowohl Server betrifft, die komprimierte Eingaben akzeptieren, als auch Clients wie diejenigen, die Curl verwenden – komprimiert. Die eigentliche Ursache wurde im Februar im Brotli-Quellcode angegangen, allerdings ohne die damaligen Sicherheitsimplikationen zu erkennen, und Brotli hat seitdem neue Releases zusammen mit einem CVE veröffentlicht. OpenAI koordinierte die Offenlegung mit nachgelagerten Projekten, darunter Node.js, die Sicherheitsupdates veröffentlicht haben oder vorbereiten, wie in der Ankündigung von OpenAI und Greg Brockman detailliert dargelegt.