OpenAI：レッドチームテストでBrotli圧縮ライブラリにリモートコード実行の脆弱性が発見される

PANews 10月24日付ニュース：OpenAIはXプラットフォームへの投稿で、最近のレッドチーム演習において、広く使用されている圧縮ライブラリBrotliに、認証を必要とせずリモートでコードを実行できる脆弱性が存在することを発見したと述べた。Node.js、Bun、Envoyなどのソフトウェアはいずれもこのライブラリを内蔵している。攻撃者は悪意のある圧縮データを送信することで未パッチのサーバーを乗っ取ることができ、また悪意のあるサーバーを通じて圧縮データを受け取るクライアントを乗っ取ることもできる。OpenAIによると、この問題の根本原因は今年2月にBrotliのソースコードで修正済みだが、当時はセキュリティ脆弱性として認識されていなかったため、このライブラリを内蔵するソフトウェアはすべて同期的に更新する必要がある。The Hacker Newsの報道によると、この脆弱性の番号はCVE-2026-111497で、Node.jsは10月21日に修正バージョンをリリースしている。