bibibi.cc正在加载…
报道指Brotli存在无需身份验证的远程代码执行漏洞。
OpenAI：红队测试中发现Brotli压缩库存在远程代码执行漏洞
PANews 10月24日消息，OpenAI在X平台发帖称，其在近期红队演练中发现，广泛使用的压缩库Brotli存在一个无需身份验证即可远程执行代码的漏洞，Node.js、Bun、Envoy等软件均内置该库。攻击者可通过发送恶意压缩数据接管未修补的服务器，也可通过恶意服务器接管接受压缩数据的客户端。OpenAI表示，该问题的根源已于今年2月在Brotli源码中修复，但当时未被识别为安全漏洞，内置该库的软件均需同步更新。据The Hacker News报道，该漏洞编号为CVE-2026-111497，Node.js已于10月21日发布修复版本。
原文链接：https://www.panewslab.com/zh/articles/01a16b12-0b34-7443-9dba-76b8aac8f1ea
PANews称，OpenAI表示其在近期红队演练中发现Brotli存在漏洞。
报道指该漏洞无需身份验证即可远程执行代码。
Node.js、Bun和Envoy被报道为内置Brotli的软件。
攻击者可能通过发送恶意压缩数据攻击未修补的服务器，或通过恶意服务器攻击接受压缩数据的客户端。
报道指Brotli源码中的问题已于今年2月修复，但当时未被识别为安全漏洞。
报道提到该漏洞编号为CVE-2026-111497，Node.js于10月21日发布修复版本。
以下为辅助分析，与已报道事实分开展示；重要信息请进一步核实。
Brotli是一种被多个软件使用的压缩库。报道所述问题可能让攻击者通过恶意压缩数据在目标设备上执行代码。
如果相关软件未修补，服务器或客户端可能受到恶意压缩数据攻击。
使用Node.js、Bun或Envoy的系统需要关注依赖更新和漏洞核验。
正在加载事件时间线…