OpenAI 标记了影响 Node.js 和 Bun 的 Brotli RCE 漏洞
根据OpenAI和Patch the Planet的数据，Brotli库的一个漏洞使得通过恶意压缩数据实现未经认证的远程代码执行，促使新的Brotli发布、发布CVE以及Node.js和Bun等项目的下游安全更新。
原文链接详细分析
OpenAI 利用人工智能代理进行的红队行动发现了 Brotli 压缩库中未认证的远程代码执行漏洞，该库被 Node.js、Bun 和 Envoy 等软件所包含。该漏洞允许攻击者通过发送恶意压缩数据在受影响系统上执行代码，影响接受压缩输入的服务器和启用压缩的客户端 curl。
Brotli 源代码于二月解决了根本原因，尽管最初未将其视为安全问题，导致 Brotli 及后续项目得以披露。Node.js 及其他公司已发布或正在准备安全更新，Brotli 发布了新版本和 CVE，OpenAI 的声明称。
OpenAI
@OpenAILeading AI research organization developing transformative technologies like ChatGPT while pursuing beneficial artificial general intelligence.