OpenAI红队披露Brotli远程代码执行漏洞

2026年10月24日，OpenAI通过官方X账号披露，其在一场红队演练中发现Brotli压缩库存在可未认证远程代码执行的漏洞。据OpenAI称，攻击者通过发送或回复恶意压缩数据，即可在受影响系统上运行代码；该漏洞影响Node.js、Bun、Envoy等内置Brotli的软件。OpenAI表示，该根因问题实际已于2月在Brotli源码中修复，但当时并未意识到它会引发安全漏洞，此后Brotli也没有更新版本。OpenAI称已向Brotli及Node.js等下游项目披露该漏洞，Brotli已发布新版本并公布CVE，Node.js等项目已发布或正在发布安全更新。目前进展为漏洞已公开、上游修复与CVE已落地，下游安全更新仍在推进中。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。