오픈AI는 널리 쓰이는 압축 라이브러리 Brotli에서 인증 없이 원격 코드 실행(RCE)이 가능한 취약점을 발견했다고 밝혔다. Node.js, Bun, Envoy 등 Brotli를 포함한 소프트웨어에서 압축 데이터를 처리하는 서버와 클라이언트가 영향을 받을 수 있다.

공격자는 악성 압축 데이터를 보내거나 이에 응답하는 방식으로 취약한 시스템에서 코드를 실행할 수 있다. 압축 입력을 받는 미패치 서버는 악성 클라이언트에, curl --compressed처럼 압축 입력을 받는 미패치 클라이언트는 악성 서버에 장악될 수 있다.

취약점의 근본 원인은 2월 Brotli 소스 코드에서 수정됐지만, 당시에는 보안 취약점으로 이어지는 문제가 알려지지 않았고 이후 Brotli 새 버전도 나오지 않았다. Brotli가 다른 소프트웨어에 포함돼 있어 해당 소프트웨어도 업데이트해야 하며, 이를 사용하는 이용자도 업데이트를 적용해야 한다. 오픈AI는 Brotli와 Node.js 등 후속 프로젝트에 취약점을 알렸고, 이들 프로젝트는 보안 업데이트를 배포했거나 배포 중이다. Brotli는 새 버전을 내고 CVE를 발표했다.

패치와 완화 조치는 patchtheplanet.org/brotli에서 확인할 수 있다.