OpenAI 红队曝 Brotli 未认证远程代码执行漏洞，波及 Node.js 等

gdb · x · 2026-10-24

OpenAI 在红队演练中发现广泛部署的压缩库 Brotli 存在无需认证的远程代码执行漏洞，Greg Brockman 表示团队已在推进漏洞披露与协调修复。

该漏洞影响 Node.js、Bun、Envoy 等大量集成 Brotli 的下游软件：攻击者只需发送构造的恶意压缩数据即可在受影响系统上执行代码——未打补丁、接受压缩输入的服务器可被恶意客户端接管，反之未打补丁的客户端（如 curl --compressed）也可被恶意服务器攻击。根因问题已在 Brotli 源码中修复，但 Brockman 指出此类深度集成组件的补丁协调异常复杂。