Эксперимент OpenAI с использованием агентов ИИ выявил уязвимость для удаленного выполнения кода без аутентификации в библиотеке сжатия Brotli, которая входит в программное обеспечение Node.js, Bun и Envoy. Этот дефект позволяет злоумышленникам выполнять код на затронутых системах, отправляя вредоносные сжатые данные, что влияет как на серверы, принимающие сжатый ввод, так и на клиенты, такие как curl с включенной компрессией.
Коренная причина была устранена в исходном коде Brotli в феврале, хотя изначально она не была признана проблемой безопасности, что привело к раскрытию информации Brotli и последующим проектам. Node.js и другие выпустили или готовят обновления безопасности, при этом Brotli выпустила новые версии и CVE, согласно объявлению OpenAI.