OpenAI сообщила об уязвимости Brotli с удалённым выполнением кода
Ошибка в широко используемой библиотеке сжатия позволяла выполнить код на уязвимой системе без аутентификации — через специально подготовленные сжатые данные. Проблема затрагивает в том числе ПО, в которое встроен Brotli, включая Node.js, Bun и Envoy.
OpenAI во время проверки безопасности обнаружила уязвимость в библиотеке сжатия Brotli, которая позволяет удалённо выполнить произвольный код без создания учётной записи. Для атаки достаточно отправить жертве вредоносные сжатые данные либо ответить ими на её запрос.
По описанию компании, сервер без обновления, принимающий сжатый ввод, может быть скомпрометирован злоумышленником-клиентом. В свою очередь, уязвимый клиент, принимающий сжатые данные, может быть атакован вредоносным сервером. В качестве примера OpenAI приводит команду curl с параметром --compressed.
Первопричину проблемы исправили в исходном коде Brotli ещё в феврале, однако тогда не было известно, что она создаёт угрозу безопасности, а более свежего релиза библиотеки не выходило. Поскольку Brotli встраивается в другое программное обеспечение, обновления должны выпустить не только сами разработчики библиотеки, но и проекты, использующие её, а затем — пользователи такого ПО.
OpenAI сообщила об уязвимости команде Brotli и разработчикам зависимых проектов, включая Node.js. По данным компании, проекты уже выпустили либо выпускают обновления безопасности; Brotli также опубликовала новые версии и CVE.