A OpenAI revelou uma vulnerabilidade de execução remota de código na biblioteca de compressão Brotli, identificada durante um exercício de red-teaming e afetando softwares amplamente utilizados, incluindo Node.js, Bun e Envoy.
A falha permite que atacantes não autenticados executem código em sistemas não corrigidos enviando dados comprimidos maliciosos, impactando tanto servidores que aceitam entradas comprimidas quanto clientes como os que usam curl — comprimidos. A causa raiz foi abordada no código-fonte da Brotli em fevereiro, embora sem reconhecimento das implicações de segurança na época, e desde então a Brotli lançou novas versões junto com um CVE. A OpenAI coordenou a divulgação com projetos posteriores, incluindo a Node.js, que lançou ou está preparando atualizações de segurança, conforme detalhado no anúncio da OpenAI e de Greg Brockman.