Celah Brotli memungkinkan eksekusi kode jarak jauh tanpa autentikasi di Node.js, Bun, Envoy, dan curl

OpenAI menyatakan bahwa latihan red teaming dengan komputasi tinggi yang dilakukannya juga menemukan kerentanan di Brotli, pustaka kompresi bawaan Node.js, Bun, Envoy, dan banyak program lainnya. Kerentanan ini tercatat sebagai CVE-2026-111497.

Menurut OpenAI:

• Celah ini memungkinkan eksekusi kode jarak jauh tanpa autentikasi melalui data terkompresi berbahaya. Server yang belum ditambal dan menerima input terkompresi dapat diambil alih oleh klien berbahaya, sementara klien yang belum ditambal dan menerima input terkompresi (misalnya curl --compressed) dapat diambil alih oleh server berbahaya.
• Akar masalahnya telah diperbaiki di kode sumber Brotli pada Februari, tetapi saat itu belum ada yang mengetahui bahwa itu adalah kerentanan keamanan sehingga tidak ada rilis yang menyusul. Karena Brotli dibundel ke dalam perangkat lunak lain, setiap proyek yang menyertakannya harus mengambil pembaruan tersebut, begitu pula para penggunanya.
• OpenAI mengungkapkan celah tersebut kepada Brotli dan proyek hilir seperti Node.js. OpenAI menyatakan bahwa proyek-proyek tersebut telah merilis atau sedang merilis pembaruan keamanan, dan Brotli telah menerbitkan rilis baru serta mengumumkan CVE tersebut. Detail dan langkah mitigasi tersedia di patchtheplanet.org/brotli.

Menurut Aikido Security: celah ini, yang pertama kali ditemukan berdampak pada Node.js dan Python, menjangkau banyak pustaka dan aplikasi yang menggunakan HTTP, dan disebutnya "HTTP2Shell". Perbaikan belum tersedia untuk semua layanan yang terdampak; Aikido menyarankan untuk mencari pembaruan dependensi ke Brotli 1.2.1 saat tersedia. Aikido mencantumkan tambalan yang sejauh ini tersedia untuk libbrotli, Python, C++, Node.js, dan Envoy (advisori Envoy sendiri adalah GHSA-3wvj-j6qm-62mr), dan menyatakan bahwa pembaruan lainnya akan menyusul.