OpenAI: 레드팀 테스트 중 Brotli 압축 라이브러리에서 원격 코드 실행 취약점 발견

OpenAI는 X 플랫폼에 게시하여 최근 레드 팀 훈련에서 널리 사용되는 압축 라이브러리 Brotli에 인증 없이 원격 코드 실행이 가능한 취약점이 발견되었다고 밝혔습니다. Node.js, Bun, Envoy 등 소프트웨어는 모두 이 라이브러리를 내장하고 있습니다. 공격자는 악성 압축 데이터를 전송하여 패치되지 않은 서버를 장악하거나, 악성 서버를 통해 압축 데이터를 수신하는 클라이언트를 장악할 수 있습니다.

OpenAI는 이 문제의 근본 원인이 올해 2월에 Brotli 소스 코드에서 수정되었지만, 당시에는 보안 취약점으로 인식되지 않았으며, 이 라이브러리를 내장한 소프트웨어는 모두 동기 업데이트가 필요하다고 밝혔습니다. The Hacker News에 따르면, 이 취약점의 번호는 CVE-2026-111497이며, Node.js는 10월 21일에 수정 버전을 발표했습니다.