OpenAI พบช่องโหว่การรันโค้ดระยะไกลในไลบรารี Brotli

OpenAI ได้โพสต์ในแพลตฟอร์ม X ว่า ในการฝึกซ้อมทีมแดง (Red Team Exercise) พบว่ามีช่องโหว่ในไลบรารี Brotli ที่สามารถรันโค้ดระยะไกลได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ ซอฟต์แวร์ต่างๆ เช่น Node.js, Bun, Envoy มีไลบรารีนี้ติดตั้งอยู่ด้วย ผู้โจมตีสามารถเข้าควบคุมเซิร์ฟเวอร์ที่ยังไม่ได้รับการแก้ไขได้โดยการส่งข้อมูลที่ถูกบีบอัดอย่างชั่วร้าย หรือเข้าควบคุมไคลเอนต์ที่รับข้อมูลที่ถูกบีบอัดจากเซิร์ฟเวอร์ที่เป็นอันตราย ปัญหานี้ได้รับการแก้ไขในซอร์สโค้ดของ Brotli เมื่อเดือนกุมภาพันธ์ปีนี้ แต่ในขณะนั้นไม่ได้ถูกระบุว่าเป็นช่องโหว่ด้านความปลอดภัย ซอฟต์แวร์ที่มีไลบรารีนี้ต้องได้รับการอัปเดตตามไปด้วย ช่องโหว่นี้มีหมายเลข CVE-2026-111497 และ Node.js ได้ปล่อยเวอร์ชันที่แก้ไขเมื่อวันที่ 21 ตุลาคม