OpenAI披露Brotli未认证RCE漏洞

OpenAI公布其红队演练中发现的一个Brotli压缩库未认证远程代码执行漏洞：攻击者无需创建账户，通过发送或回复恶意压缩数据即可在受影响系统上执行代码。OpenAI称，该根本原因问题已于今年2月在Brotli源代码中修复，但当时并不知晓其会构成安全漏洞，Brotli此后也未发布新版本。 OpenAI称已向Brotli及Node.js等下游项目披露该漏洞，Node.js等已发布或正在发布安全更新，Brotli也发布了新版本并公布CVE。据其说明，影响范围包括Node.js、Bun、Envoy等内嵌Brotli的软件，接受压缩输入的未修补服务器或客户端均可能被恶意对端接管。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。