Lors de cet exercice de red team, nous avons également découvert une vulnérabilité permettant l'exécution de code à distance sans authentification dans Brotli, une bibliothèque de compression largement déployée

Lors d'un exercice de red team, OpenAI a découvert une vulnérabilité dans Brotli — une bibliothèque de compression largement déployée, intégrée à Node.js, Bun, Envoy et d'autres — permettant l'exécution de code à distance sans authentification. Un serveur non corrigé acceptant des entrées compressées peut être pris en main par un client malveillant (et inversement, p. ex. « curl --compressed ») ; le défaut avait été corrigé en amont en février sans être reconnu comme problème de sécurité, et Brotli a donc publié de nouvelles versions et un CVE, les projets en aval publiant leurs correctifs de sécurité. Cela compte car Brotli est intégré à toute la pile logicielle : une seule bibliothèque largement distribuée peut exposer un nombre immense de systèmes à la fois.

• OpenAI2026-10-23 22:55