L’exercice de red-teaming d’OpenAI utilisant des agents IA a découvert une vulnérabilité d’exécution de code à distance non authentifiée dans la bibliothèque de compression Brotli, incluse dans des logiciels tels que Node.js, Bun et Envoy. Cette faille permet aux attaquants d’exécuter du code sur les systèmes affectés en envoyant des données compressées malveillantes, impactant à la fois les serveurs acceptant les entrées compressées et des clients comme curl avec la compression activée.
La cause profonde a été traitée dans le code source de Brotli en février, bien qu’elle n’ait pas été initialement reconnue comme un problème de sécurité, ce qui a conduit à une divulgation à Brotli et aux projets en aval. Node.js et d’autres ont publié ou préparent des mises à jour de sécurité, Brotli publiant de nouvelles versions et un CVE, selon l’annonce d’OpenAI.