OpenAI红蓝对抗发现Brotli未授权远程代码执行漏洞

发生了什么

在一次红蓝对抗演练中，OpenAI团队发现广泛使用的Brotli压缩库存在未授权远程代码执行漏洞，攻击者可通过发送恶意压缩数据在未打补丁的服务器或客户端上执行任意代码。该库被Node.js、Bun和Envoy等软件采用，漏洞根因已于二月在Brotli源码中修复，但当时未被识别为安全问题。OpenAI已向Brotli及下游项目披露，相关项目正发布安全更新。