В ходе этого учения red-team мы также обнаружили уязвимость, позволяющую удалённое выполнение кода без аутентификации в Brotli — широко распространённой библиотеке сжатия

В ходе учений red-team OpenAI обнаружила в Brotli — широко распространённой библиотеке сжатия, встроенной в Node.js, Bun, Envoy и другое ПО — уязвимость, позволяющую удалённое выполнение кода без аутентификации. Неисправленный сервер, принимающий сжатые данные, может быть захвачен злонамеренным клиентом (и наоборот, напр. «curl --compressed»); первопричина была исправлена в апстриме ещё в феврале, но тогда её не признали проблемой безопасности, и теперь Brotli выпустил новые версии и CVE, а зависимые проекты выпускают обновления безопасности. Это важно, потому что Brotli встроен во весь стек ПО: одна широко поставляемая библиотека может разом подвергнуть риску огромное количество систем.

• OpenAI2026-10-23 22:55