OpenAI: las pruebas de red team detectan una vulnerabilidad de ejecución remota de código en la biblioteca de compresión Brotli

OpenAI publicó en la plataforma X que, durante un reciente ejercicio de red team, se descubrió una vulnerabilidad en la ampliamente utilizada biblioteca de compresión Brotli que permite la ejecución remota de código sin autenticación. Software como Node.js, Bun y Envoy incorporan esta biblioteca de forma nativa. Los atacantes pueden tomar el control de servidores sin parchear enviando datos comprimidos maliciosos, y también pueden tomar el control de clientes que aceptan datos comprimidos a través de servidores maliciosos. OpenAI declaró que la raíz del problema se corrigió en el código fuente de Brotli en febrero de este año, pero en ese momento no se identificó como una vulnerabilidad de seguridad, y todo el software que incluye esta biblioteca debe actualizarse en consecuencia. Según The Hacker News, la vulnerabilidad tiene el número CVE-2026-111497, y Node.js publicó una versión parcheada el 21 de octubre.