核心信息

在一次红队演练中，OpenAI 发现 Brotli 压缩库存在可导致未授权远程代码执行的漏洞，该库被 Node.js、Bun 和 Envoy 等软件广泛内置。

要点

  • 攻击者无需创建用户账号，只需发送或回复恶意压缩数据，即可在受影响系统上运行自己的代码。
  • 接受压缩输入的未修补服务器可能被恶意客户端接管。
  • 接受压缩输入的未修补客户端（如 "curl --compressed"）可能被恶意服务器接管。
  • 该根因问题已在 Brotli 源代码中修复。