OpenAI 红队发现 Brotli 严重 RCE 漏洞，波及 Node.js 等广泛软件
moyix · x · 2026-10-24
OpenAI 在红队演练中发现广泛部署的压缩库 Brotli 存在无需认证的远程代码执行漏洞（CVE-2026-11149，high），Node.js、Bun、Envoy 等大量软件均受影响，Node.js 22.x/24.x/26.x 均在内。
- 漏洞原理：解码器把无效的 block switch 误判为「需要更多输入」而非格式错误，导致流式解码不断向 8 字节内部缓冲区追加数据，造成越界写入；攻击者可通过恶意压缩数据破坏进程内存，进而崩溃、内存泄露或 RCE。
- 攻击面：无需账号——未打补丁的服务端接受压缩输入即可被恶意客户端接管，反之 curl --compressed 这类客户端也可被恶意服务端攻击。
- 发现方：OpenAI Codex Security 的 Khai Tran 与 Sylvie Mayer，源自其大规模基础设施代码扫描；由 mcollina 和 aduh95 修复。
- 建议：所有使用 Brotli 的组件（Node.js、Bun、Envoy 等）尽快升级。
所属事件:OpenAI 红队发现 Brotli 压缩库未认证 RCE 漏洞(2 条相关)→
「模型」频道最新
- Kimi 订阅额度被评最差，却成中国非程序员最佳日常模型 — Linahuaa · 2026-10-24
- 初创 humans& 一周三连发：协作模型 Ampersand、社交产品 Boba 与 FTL 解码提速 10% — ericzelikman · 2026-10-24
- Nat Eliason 盲测写作风格:Argon 压倒性胜出, 称让模型全部重写 — nateliason · 2026-10-24
- GPT-6 Astra 解出 50 道前沿物理题中的 49 道，还纠出专家答案错误 — MoonL88537 · 2026-10-24
- ClaudeAI 周报：静默安全过滤器、用量蒸发与 Opus 5.5 '削弱'真相 — ClaudeAI-mod-bot · 2026-10-24
- Anthropic 官方确认：Claude Fable 5.1 出现错误率升高故障 — ClaudeAI-mod-bot · 2026-10-24