OpenAI: Kiểm thử red team phát hiện lỗ hổng thực thi mã từ xa trong thư viện nén Brotli, các phần mềm như Node.js bị ảnh hưởng

Odaily đưa tin, OpenAI cho biết trong đợt kiểm thử red team gần đây đã phát hiện thư viện nén Brotli được sử dụng rộng rãi tồn tại một lỗ hổng thực thi mã từ xa có thể kích hoạt mà không cần xác thực, các phần mềm như Node.js, Bun và Envoy đều tích hợp sẵn thư viện này.

OpenAI chỉ ra rằng kẻ tấn công có thể kiểm soát các máy chủ chưa được vá bằng cách gửi dữ liệu nén độc hại, hoặc có thể lợi dụng máy chủ độc hại để tấn công các máy khách nhận dữ liệu nén. Vấn đề gốc rễ của lỗ hổng này đã được sửa trong mã nguồn Brotli vào tháng 2 năm nay, nhưng vào thời điểm đó không được xác định là lỗ hổng bảo mật, do đó các phần mềm sử dụng thư viện này vẫn cần được cập nhật đồng bộ.

Theo The Hacker News đưa tin, lỗ hổng này có mã CVE-2026-111497, Node.js đã phát hành phiên bản vá vào ngày 21 tháng 10.