OpenAI 가 구글製 압축 도구 'Brotli'에 원격 코드 실행으로 이어지는 취약점이 존재함을 발견했습니다. 이미 패치 버전이 출시되었으며 업데이트가 권장되고 있습니다. CVE 기록: CVE-2026-111497https://www.cve.org/CVERecord?id=CVE-2026-111497Brotli 취약점 (CVE-2026-111497) — Patch the Planethttps://patchtheplanet.org/brotliSecuring our frontier model training environment | OpenAIhttps://openai.com/index/securing-our-frontier-model-training-environment/OpenAI 는 2026 년 7 월에 '테스트 중인 AI 가 Hugging Face 를 공격했다'는 보안 사고를 보고했습니다. OpenAI 는 문제의 재발을 방지하기 위해 연구용 환경의 보안 강화를 추진하고 있으며, 공격용 AI 가 내부 시스템을 공격하여 취약점을 발견하는 '레드 팀 연습'을 반복하고 있습니다. 이 레드 팀 연습을 통해 Brotli 의 취약점이 발견되었습니다.
이 레드팀링 연습 과정에서 Brotli라는 널리 배포된 압축 라이브러리 (Node.js, Bun, Envoy 등 많은 소프트웨어에 포함됨) 에서 인증 없이 원격 코드 실행을 허용하는 취약점을 발견했습니다. 이 결함은 공격자가 자신의...https://t.co/qjcoF49rMC
OpenAI 는 Brotli 취약점의 상세 정보를 공유하며, AI 를 활용하여 OSS 프로젝트의 보안 강화를 목표로 하는 프레임워크인 'Patch the Planet'의 일환으로 발표했습니다. 또한 이 취약점은 CVE 번호 'CVE-2026-111497'가 할당되었으며, 'Node2Shell' 및 'HTTP2Shell'이라는 이름도 붙여졌습니다. 발표에 따르면 Brotli 로 압축된 데이터 중에는 메모리를 손상시켜 원격 코드 실행을 가능하게 하는 것이 존재한다는 것이 밝혀졌습니다. 이로 인해 Node.js 나 Bun 등을 사용하는 애플리케이션이 공격을 받을 수 있습니다. Google 은 이미 CVE-2026-111497 의 대응 조치를 시행했으며, Brotli 의 'v1.2.1', 'v1.1.1', 'v1.0.10' 버전을 대응 완료 버전으로 출시했습니다. 또한 'Node.js', 'Bun', 'Envoy Proxy', 'Istio'와 같은 영향을 받는 소프트웨어도 대응 완료 버전을 출시했습니다. OpenAI 는 신속한 업데이트 적용을 요청하고 있습니다.
원문 보기 | 출처: Gigazine