OpenAI：การทดสอบ Red Team พบช่องโหว่ Remote Code Execution ในไลบรารีบีบอัด Brotli ส่งผลกระทบต่อซอฟต์แวร์อย่าง Node.js

Odaily รายงานว่า OpenAI เปิดเผยว่าในการทดสอบ Red Team เมื่อเร็วๆ นี้ พบว่าไลบรารีบีบอัด Brotli ที่ใช้งานกันอย่างแพร่หลายมีช่องโหว่ Remote Code Execution ที่สามารถTriggerได้โดยไม่ต้องยืนยันตัวตน โดยซอฟต์แวร์อย่าง Node.js, Bun และ Envoy ต่างก็มีไลบรารีนี้ติดตั้งอยู่ภายใน

OpenAI ระบุว่า ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์ที่ยังไม่ได้แพตช์ได้ด้วยการส่งข้อมูลบีบอัดที่เป็นอันตราย และอาจใช้เซิร์ฟเวอร์ที่เป็นอันตรายโจมตีไคลเอนต์ที่รับข้อมูลบีบอัดได้เช่นกัน ปัญหาพื้นฐานของช่องโหว่นี้ได้รับการแก้ไขในซอร์สโค้ดของ Brotli เมื่อเดือนกุมภาพันธ์ปีนี้แล้ว แต่ในขณะนั้นยังไม่ถูกระบุว่าเป็นช่องโหว่ด้านความปลอดภัย ดังนั้นซอฟต์แวร์ที่ใช้ไลบรารีนี้จึงยังจำเป็นต้องอัปเดตให้สอดคล้องกัน

ตามรายงานของ The Hacker News ช่องโหว่ดังกล่าวมีหมายเลข CVE-2026-111497 และ Node.js ได้เผยแพร่เวอร์ชันที่แก้ไขแล้วเมื่อวันที่ 21 ตุลาคม