O exercício de red-teaming da OpenAI usando agentes IA descobriu uma vulnerabilidade de execução remota de código não autenticada na biblioteca de compressão Brotli, que está incluída em softwares como Node.js, Bun e Envoy. A falha permite que atacantes executem código em sistemas afetados enviando dados comprimidos maliciosos, impactando tanto servidores que aceitam entrada comprimida quanto clientes como o curl com compressão ativada.
A causa raiz foi abordada no código-fonte do Brotli em fevereiro, embora inicialmente não tenha sido reconhecida como um problema de segurança, levando à divulgação para o Brotli e projetos posteriores. Node.js e outros lançaram ou estão preparando atualizações de segurança, com o Brotli lançando novas versões e um CVE, segundo o anúncio da OpenAI.