OpenAI: Trong quá trình kiểm tra đội đỏ đã phát hiện lỗ hổng thực thi mã từ xa trong thư viện nén Brotli

OpenAI đã đăng trên nền tảng X rằng trong một cuộc diễn tập đội đỏ gần đây, họ đã phát hiện ra một lỗ hổng trong thư viện nén phổ biến Brotli cho phép thực thi mã từ xa mà không cần xác thực. Các phần mềm như Node.js, Bun, Envoy đều tích hợp thư viện này. Kẻ tấn công có thể chiếm quyền điều khiển máy chủ chưa được vá bằng cách gửi dữ liệu nén độc hại, hoặc có thể chiếm quyền điều khiển các khách hàng nhận dữ liệu nén thông qua máy chủ độc hại.

OpenAI cho biết nguồn gốc của vấn đề đã được sửa chữa trong mã nguồn của Brotli vào tháng 2 năm nay, nhưng vào thời điểm đó không được nhận diện là lỗ hổng bảo mật, các phần mềm tích hợp thư viện này đều cần được cập nhật đồng bộ. Theo báo cáo của The Hacker News, lỗ hổng này có mã số CVE-2026-111497, Node.js đã phát hành phiên bản sửa lỗi vào ngày 21 tháng 10.