OpenAI는 레드팀 활동 중 발견된 Brotli 압축 라이브러리의 원격 코드 실행 취약점을 공개했으며, 이는 Node.js, Bun, Envoy 등 널리 사용되는 소프트웨어에 영향을 미쳤습니다.
이 결함은 인증되지 않은 공격자가 패치되지 않은 시스템에서 악성 압축 데이터를 전송하여 코드를 실행할 수 있게 하여, 압축 입력을 받는 서버와 curl --compressed를 사용하는 클라이언트 모두에 영향을 미칩니다. 근본 원인은 2월에 Brotli 소스 코드에서 해결되었으나, 당시 보안 문제를 인지하지 못했고, 이후 Brotli는 CVE와 함께 새로운 릴리스를 발표했습니다. OpenAI는 Node.js을 포함한 하위 프로젝트들과 공개를 조율했으며, 이들은 보안 업데이트를 출시했거나 준비 중이며, OpenAI와 Greg Brockman의 발표에 자세히 나와 있습니다.