OpenAI a révélé une vulnérabilité d’exécution de code à distance dans la bibliothèque de compression Brotli, identifiée lors d’un exercice de red-teaming et affectant des logiciels largement utilisés tels que Node.js, Bun et Envoy.
Cette faille permet aux attaquants non authentifiés d’exécuter du code sur des systèmes non corrigés en envoyant des données compressées malveillantes, impactant à la fois les serveurs acceptant des entrées compressées et des clients comme ceux utilisant curl --compressed. La cause profonde a été abordée dans le code source de Brotli en février, bien que sans reconnaissance des implications de sécurité à l’époque, et Brotli a depuis publié de nouvelles versions ainsi qu’un CVE. OpenAI a coordonné la divulgation avec des projets en aval, dont Node.js, qui ont publié ou préparent des mises à jour de sécurité, comme détaillé dans l’annonce d’OpenAI et Greg Brockman.