중요X
OpenAI(오픈AI), Node.js·Bun·Envoy에 쓰이는 Brotli에서 인증 없는 RCE 취약점 발견
압축 입력 받는 서버·클라이언트 모두 탈취 위험. 2월 패치된 소스 반영됐는지 즉시 점검 필요.
요약
OpenAI의 레드팀 테스트 과정에서 널리 사용되는 압축 라이브러리 Brotli에서 인증되지 않은 원격 코드 실행(RCE) 취약점이 발견되었습니다. 이 취약점은 공격자가 악의적으로 압축된 데이터를 전송함으로써 Node.js, Bun, Envoy 등 Brotli가 포함된 소프트웨어를 사용하는 서버나 클라이언트를 제어할 수 있게 합니다. 해당 취약점은 지난 2월 Brotli 소스 코드 수준에서 수정되었으나 보안 위협으로 인지되지 않아 최신 릴리스가 배포되지 않았던 상태입니다. Brotli 라이브러리를 사용하는 소프트웨어들은 이번 보안 취약점에 대한 업데이트를 반드시 진행해야 합니다. 현재 관련 프로젝트들은 보안 업데이트를 발표하고 있으며, Brotli 측은 새로운 버전을 릴리스하고 CVE를 발행했습니다.
AI가 원문을 요약한 내용으로, 부정확할 수 있습니다.
원문 제목 @OpenAI: During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated remote code execution in Brotli, a
원문 보기 ↗