OpenAI

在这次红队演习中，我们还发现了一个漏洞，该漏洞允许在Brotli中未经身份验证的远程代码执行，Brotli是一个广泛部署的压缩库，包含在许多软件中，如Node.js、Bun和Envoy。 该漏洞可以让攻击者在不需要创建用户帐户的情况下，通过发送或回复恶意压缩数据，在受影响的系统上运行自己的代码。也就是说，接受压缩输入的未打补丁的服务器可能会被恶意客户端接管，而接受压缩输入（例如“curl—compressed”）的未打补丁的客户端可能会被恶意服务器接管。 这个根本原因问题实际上在2月份的Brotli源代码中得到了修复，但当时并不知道它会导致安全漏洞，而且Brotli也没有最近的发布。由于Brotli被内置到其他软件中，任何包含该库的软件也需要进行更新，紧随其后的是该软件的用户。我们向Brotli和其他下游项目（如已发布或正在发布安全更新的Node.js）披露了该漏洞，Brotli削减了新的发布版本并发布了CVE。 有关补丁和缓解措施的更多详细信息如下： https://t.co/Y1Y72aHxrW