今回のレッドチーム演習では、広く使われている圧縮ライブラリBrotliに、認証なしのリモートコード実行を許す脆弱性も発見した

OpenAIはレッドチーム演習で、Brotli（Node.js、Bun、Envoyなどに組み込まれた広く使われる圧縮ライブラリ）に、認証なしのリモートコード実行を許す脆弱性を発見した。圧縮入力を受け付ける未対策サーバーは悪意あるクライアントに乗っ取られうる（逆も同様、例：「curl --compressed」）。根本原因は2月に上流で修正済みだったが、セキュリティ問題とは認識されず、今回Brotliは新バージョンをリリースしCVEを公開、下流プロジェクトもセキュリティ更新を出している。Brotliはソフトウェアスタック全体に組み込まれているため、広く配布された1つのライブラリが大量のシステムを一気に危険にさらす——それがこの脆弱性の重さだ。

• OpenAI2026-10-23 22:55