OpenAI reveló una vulnerabilidad en la ejecución remota de código en la biblioteca de compresión Brotli, identificada durante un ejercicio de red-teaming y que afectaba a software ampliamente utilizado como Node.js, Bun y Envoy.
La vulnerabilidad permite que atacantes no autenticados ejecuten código en sistemas sin parchear enviando datos comprimidos maliciosos, afectando tanto a servidores que aceptan entrada comprimida como a clientes como los que usan curl --comprimidos. La causa raíz se abordó en el código fuente de Brotli en febrero, aunque sin reconocer las implicaciones de seguridad en ese momento, y desde entonces Brotli ha publicado nuevas versiones junto con un CVE. OpenAI coordinó la divulgación con proyectos posteriores incluyendo a Node.js, que han publicado o están preparando actualizaciones de seguridad, como detalla el anuncio de OpenAI y Greg Brockman.