OpenAI 揭露 Brotli 中的 RCE 漏洞;补丁，CVE 发布
根据 OpenAI 通过 Greg Brockman 和 Patch the Planet 的报道，广泛使用的 Brotli 库中的远程代码执行漏洞影响了 Node.js、Bun 和 Envoy 等工具，相关修复已发布并分配了 CVE。
原文链接详细分析
OpenAI披露了Brotli压缩库中的一个远程代码执行漏洞，该漏洞是在一次红队训练中发现的，影响了包括Node.js、Bun和Envoy在内的广泛使用的软件。
该漏洞允许未经认证的攻击者通过发送恶意压缩数据，在未补丁的系统上执行代码，影响接受压缩输入的服务器和使用curl ---compressed等客户端。Brotli源代码于2月解决了根本原因，但当时未意识到其安全隐患，Brotli随后发布了新版本和CVE。OpenAI协调披露了包括Node.js在内的下游项目，这些项目已发布或正在准备安全更新，详见OpenAI和Greg Brockman的公告。
Greg Brockman
@gdbPresident & Co-Founder of OpenAI