OpenAI เผยการทดสอบ Red Team พบช่องโหว่ Remote Code Execution ในไลบรารีบีบอัด Brotli

OpenAI โพสต์บนแพลตฟอร์ม X ว่าในการฝึก Red Team เมื่อเร็วๆ นี้ พบช่องโหว่ในไลบรารีบีบอัด Brotli ที่ใช้กันอย่างแพร่หลาย ซึ่งอนุญาตให้มีการเรียกใช้โค้ดจากระยะไกล (remote code execution) โดยไม่ต้องยืนยันตัวตน ซอฟต์แวร์อย่าง Node.js, Bun และ Envoy ต่างมีไลบรารีนี้ติดตั้งอยู่ภายใน ผู้โจมตีสามารถยึดครองเซิร์ฟเวอร์ที่ยังไม่ได้แพตช์ได้ด้วยการส่งข้อมูลบีบอัดที่เป็นอันตราย และยังสามารถยึดครองไคลเอนต์ที่รับข้อมูลบีบอัดผ่านเซิร์ฟเวอร์ที่เป็นอันตรายได้อีกด้วย OpenAI ระบุว่าต้นตอของปัญหาถูกแก้ไขในซอร์สโค้ดของ Brotli เมื่อเดือนกุมภาพันธ์ของปีนี้ แต่ในขณะนั้นยังไม่ถูกระบุว่าเป็นช่องโหว่ด้านความปลอดภัย และซอฟต์แวร์ทั้งหมดที่รวมไลบรารีนี้จำเป็นต้องอัปเดตตามไปด้วย ตามรายงานของ The Hacker News ช่องโหว่ดังกล่าวมีหมายเลข CVE-2026-111497 และ Node.js ได้เผยแพร่เวอร์ชันที่แพตช์แล้วเมื่อวันที่ 21 ตุลาคม