OpenAI کشف آسیب‌پذیری اجرای کد از راه دور در کتابخانه فشرده‌سازی Brotli

OpenAI در پلتفرم X اعلام کرد که در تمرینات تیم قرمز خود، یک آسیب‌پذیری در کتابخانه فشرده‌سازی Brotli کشف کرده است که به مهاجمان این امکان را می‌دهد تا بدون نیاز به احراز هویت، کد را از راه دور اجرا کنند. نرم‌افزارهایی مانند Node.js، Bun و Envoy این کتابخانه را به‌طور داخلی شامل می‌شوند. مهاجمان می‌توانند با ارسال داده‌های فشرده مخرب، سرورهای بدون وصله را تحت کنترل خود درآورند یا با استفاده از سرورهای مخرب، کلاینت‌هایی که داده‌های فشرده را دریافت می‌کنند، را تسخیر کنند. ریشه این مشکل در فوریه امسال در کد منبع Brotli اصلاح شده است، اما در آن زمان به عنوان یک آسیب‌پذیری امنیتی شناسایی نشده بود و نرم‌افزارهایی که این کتابخانه را شامل می‌شوند، باید به‌روزرسانی شوند. شماره این آسیب‌پذیری CVE-2026-111497 است و Node.js در تاریخ 21 اکتبر نسخه اصلاح‌شده‌ای را منتشر کرده است.