OpenAI: 레드팀 테스트에서 Brotli 압축 라이브러리의 원격 코드 실행 취약점 발견

PANews 10월 24일 소식, OpenAI가 X 플랫폼에 게시한 글에 따르면 최근 레드팀 훈련에서 널리 사용되는 압축 라이브러리 Brotli에 인증 없이 원격으로 코드를 실행할 수 있는 취약점이 존재한다는 사실을 발견했으며, Node.js, Bun, Envoy 등 소프트웨어에 이 라이브러리가 내장되어 있다. 공격자는 악성 압축 데이터를 전송해 패치되지 않은 서버를 장악할 수 있고, 악성 서버를 통해 압축 데이터를 수신하는 클라이언트를 장악할 수도 있다. OpenAI는 해당 문제의 근본 원인이 올해 2월 Brotli 소스 코드에서 이미 수정되었으나 당시에는 보안 취약점으로 식별되지 않았으며, 이 라이브러리를 내장한 소프트웨어는 모두 함께 업데이트해야 한다고 밝혔다. The Hacker News의 보도에 따르면 이 취약점 번호는 CVE-2026-111497이며, Node.js는 10월 21일 수정 버전을 발표했다.