OpenAI раскрыл уязвимость удаленного выполнения кода в библиотеке сжатия Brotli, выявленную во время тренировки по ред-тимингу и затрагивающую широко используемое программное обеспечение, включая Node.js, Bun и Envoy.
Этот дефект позволяет неаутентифицированным злоумышленникам выполнять код на непатчированных системах, отправляя вредоносно сжатые данные, что влияет как на серверы, принимающие сжатый ввод, так и на клиентов, таких как те, что используют curl — сжатие. Корень проблемы был устранен в исходном коде Brotli в феврале, хотя на тот момент не было признано последствий безопасности, и Brotli с тех пор выпустил новые релизы вместе с CVE. OpenAI координировал раскрытие информации с проектами, включая Node.js, которые выпустили или готовят обновления безопасности, как подробно описано в объявлении OpenAI и Грега Брокмана.