OpenAI: тестирование red team выявило уязвимость удаленного выполнения кода в библиотеке сжатия Brotli

OpenAI сообщила на платформе X, что в ходе недавних учений red team была обнаружена уязвимость в широко используемой библиотеке сжатия Brotli, позволяющая удаленно выполнять код без аутентификации. Такие программы, как Node.js, Bun и Envoy, имеют эту библиотеку встроенной. Злоумышленники могут захватить непропатченные серверы, отправляя вредоносные сжатые данные, а также могут захватить клиенты, принимающие сжатые данные, через вредоносные серверы. OpenAI заявила, что корень проблемы был исправлен в исходном коде Brotli в феврале этого года, но тогда это не было квалифицировано как уязвимость безопасности, и все программы, включающие эту библиотеку, нуждаются в соответствующем обновлении. По данным The Hacker News, уязвимость имеет номер CVE-2026-111497, а Node.js выпустил исправленную версию 21 октября.