OpenAI：レッドチームテストでBrotli圧縮ライブラリにリモートコード実行脆弱性が発見、Node.jsなどのソフトウェアが影響を受ける

Odaily星球日报の報道によると、OpenAIは最近のレッドチームテストで、広く使用されているBrotli圧縮ライブラリに認証不要でトリガーできるリモートコード実行脆弱性が存在することを発見したと発表した。Node.js、Bun、Envoyなどのソフトウェアにはこのライブラリが組み込まれている。

OpenAIによると、攻撃者は悪意のある圧縮データを送信することで未パッチのサーバーを制御できるほか、悪意のあるサーバーを利用して圧縮データを受信するクライアントを攻撃する可能性もある。この脆弱性の根本的な問題は今年2月にBrotliのソースコードで修正されていたが、当時はセキュリティ脆弱性として認識されていなかったため、このライブラリを使用するソフトウェアは依然として同期更新が必要である。

The Hacker Newsの報道によると、この脆弱性の番号はCVE-2026-111497であり、Node.jsは10月21日に修正バージョンをリリースした。