OpenAI披露Brotli未授权RCE漏洞

OpenAI称其红队演练发现，广泛用于Node.js、Bun、Envoy等软件的Brotli压缩库存在未授权远程代码执行漏洞：攻击者发送或回复恶意压缩数据即可在受影响系统运行代码，无需创建账户。 OpenAI称，该根因问题早在2月的Brotli源码中已被修复，但当时未意识到它构成安全漏洞，且此后Brotli没有新版本发布。OpenAI已向Brotli及Node.js等下游项目披露，Brotli发布了新版本并公开CVE，Node.js已发布或正在发布安全更新。 由于Brotli被内置于其他软件，OpenAI称包含该库的软件需跟进更新，这些软件的用户也需随之更新。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。