OpenAI가 AI 에이전트를 이용한 레드팀 활동에서 Node.js, Bun, Envoy 같은 소프트웨어에 포함된 Brotli 압축 라이브러리에서 인증되지 않은 원격 코드 실행 취약점을 발견했습니다. 이 취약점은 공격자가 악성 압축 데이터를 전송해 영향을 받은 시스템에서 코드를 실행할 수 있게 하여, 압축 입력을 받는 서버와 압축이 활성화된 Curl 같은 클라이언트 모두에 영향을 미칩니다.
근본 원인은 2월에 Brotli 소스 코드에서 해결되었으나, 처음에는 보안 문제로 인식되지 않아 Brotli 및 후속 프로젝트에 공개되었습니다. Node.js 등 여러 업체가 보안 업데이트를 출시하거나 준비 중이며, Brotli는 새로운 버전과 CVE를 배포하고 있다고 OpenAI 발표에 따르면,