OpenAI红队发现Brotli未认证RCE漏洞

OpenAI称其红队演练中发现Brotli压缩库存在未认证远程代码执行漏洞：攻击者发送或回复恶意压缩数据即可在受影响系统上运行代码，无需创建账户。Brotli被内置于Node.js、Bun、Envoy等大量软件中。 OpenAI称该根因问题已于2月在Brotli源码中修复，但当时未知其构成安全漏洞，此后也没有新版本发布。Brotli现已发布新版本并公开CVE，Node.js等下游项目正在或已经发布安全更新；包含该库的软件及其用户需跟进更新。

AI 根据报道生成 · 3 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。