Lỗ hổng Brotli cho phép thực thi mã từ xa mà không cần xác thực trong Node.js, Bun, Envoy và curl

OpenAI cho biết cuộc diễn tập red-team sử dụng năng lực tính toán cao của họ cũng phát hiện một lỗ hổng trong Brotli, thư viện nén được tích hợp trong Node.js, Bun, Envoy và nhiều chương trình khác. Lỗ hổng được theo dõi với mã CVE-2026-111497.

OpenAI cho biết:

• Lỗ hổng cho phép thực thi mã từ xa mà không cần xác thực thông qua dữ liệu nén độc hại. Máy chủ chưa được vá có chấp nhận dữ liệu đầu vào đã nén có thể bị máy khách độc hại chiếm quyền kiểm soát; máy khách chưa được vá có chấp nhận dữ liệu đầu vào đã nén (ví dụ curl --compressed) cũng có thể bị máy chủ độc hại chiếm quyền kiểm soát.
• Nguyên nhân gốc đã được khắc phục trong mã nguồn Brotli vào tháng 2, nhưng khi đó không ai biết đây là lỗ hổng bảo mật nên không có bản phát hành nào tiếp theo. Vì Brotli được đóng gói trong các phần mềm khác, mọi dự án tích hợp thư viện này đều phải nhận bản cập nhật, rồi người dùng của họ cũng vậy.
• OpenAI đã thông báo lỗ hổng cho Brotli và các dự án phụ thuộc như Node.js. OpenAI cho biết họ đã phát hành hoặc đang phát hành các bản cập nhật bảo mật, đồng thời Brotli đã tung ra các bản phát hành mới và công bố CVE. Thông tin chi tiết và biện pháp giảm thiểu có tại patchtheplanet.org/brotli.

Aikido Security cho biết: lỗ hổng, ban đầu được phát hiện ảnh hưởng đến Node.js và Python, lan tới nhiều thư viện và ứng dụng sử dụng HTTP; họ gọi lỗ hổng này là "HTTP2Shell". Chưa có bản vá cho mọi dịch vụ bị ảnh hưởng; Aikido khuyến nghị theo dõi các bản nâng cấp phụ thuộc lên Brotli 1.2.1 khi chúng được phát hành. Aikido liệt kê các bản vá hiện có cho libbrotli, Python, C++, Node.js và Envoy (thông báo riêng của Envoy là GHSA-3wvj-j6qm-62mr) và cho biết sẽ còn có thêm bản vá.