El ejercicio de red-teaming de OpenAI usando agentes de IA descubrió una vulnerabilidad de ejecución remota de código no autenticada en la biblioteca de compresión Brotli, que está incluida en software como Node.js, Bun y Envoy. La vulnerabilidad permite a los atacantes ejecutar código en los sistemas afectados enviando datos comprimidos maliciosos, afectando tanto a servidores que aceptan entrada comprimida como a clientes como curl con compresión activada.
La causa raíz se abordó en el código fuente de Brotli en febrero, aunque inicialmente no se reconoció como un problema de seguridad, lo que llevó a la divulgación a Brotli y a proyectos posteriores. Node.js y otros han publicado o están preparando actualizaciones de seguridad, con Brotli publicando nuevas versiones y un CVE, según el anuncio de OpenAI.