OpenAIは、レッドチーム演習中にBrotli圧縮ライブラリにリモートコード実行の脆弱性が発見され、Node.js、Bun、Envoyなど広く使われているソフトウェアに影響を与えていることを明らかにしました。
この脆弱性により、認証されていない攻撃者がパッチのないシステム上で悪意のある圧縮データを送信してコードを実行することができ、圧縮入力を受け入れるサーバーとcurl --compressedのようなクライアントの両方に影響を及ぼします。根本原因は2月のBrotliソースコードで対処されましたが、当時はセキュリティ上の問題が認識されておらず、その後BrotliはCVEとともに新しいリリースを発表しています。OpenAIは、Node.jsを含む下流プロジェクトと情報開示を調整しており、これらのプロジェクトはセキュリティアップデートをリリースまたは準備中であると、OpenAIとGreg Brockmanの発表で詳述されています。