OpenAI 红队挖出 Brotli 未认证 RCE 漏洞，波及 Node.js 与 cURL
charliermarsh · x · 2026-10-24
OpenAI 在一次红队演练中发现广泛部署的压缩库 Brotli 存在未认证远程代码执行漏洞（RCE），影响 Node.js、Bun、Envoy 及 cURL 等。攻击者只需发送恶意压缩数据即可在未打补丁的服务器或客户端（如 curl --compressed）上执行任意代码，无需创建账号。
- 影响面：使用 express.json() 的 Express.js 应用、开启 --compressed 的 cURL 客户端等均在受影响之列
- 发现方：OpenAI 红队，团队成员（含 ktr4n 团队）完成发现与披露
- 修复状态：根因问题已在 Brotli 源码中修复，各下游项目需尽快更新
所属事件:OpenAI 红队发现 Brotli 未认证 RCE，Node.js 等已发修复版(6 条相关)→
「安全」频道最新
- 前 DOGE 员工创办的 Cathedral 自称 12 小时攻入 Anthropic — AlexTensor · 2026-10-26
- 英国 Ofcom 承认在线安全法未能保护儿童，推进九个月遭批 — gnukeith · 2026-10-26
- Sakana AI 社长伊藤炼提议：日美共建 AI 能力评估共同框架 — SakanaAILabs · 2026-10-26
- Gary Marcus 呼吁立法禁用语音克隆:诈骗危害远大于收益 — GaryMarcus · 2026-10-26
- PyTorch backward 可运行图灵完备恶意代码：浮点精度漏洞被实锤 — retr0jirachi · 2026-10-26
- ISO/IEC JTC 1/SC 42 第 18 届 AI 标准全会在蒙特利尔召开 — davidmanheim · 2026-10-26