아직 끝나지 않은IT·과학4시간 전 업데이트

OpenAI 브로틀리 원격코드실행 취약점 발견

다른 이름: 브로틀리 취약점 · OpenAI 브로틀리 취약점 · Brotli 원격 코드 실행 취약점
#해킹#IT#개인정보

OpenAI의 레드티밍 점검 과정에서 브로틀리(Brotli) 압축 라이브러리의 취약점이 발견됐다는 소식이다. 해당 취약점은 인증 없이 원격 코드 실행이 가능한 것으로 보도됐다.

그래서 지금은?OpenAI Codex Security 연구진이 보고한 브로틀리 디코더 결함(CVE-2026-111497)은 Node.js가 10월 21일 보안 업데이트로 조치했습니다. 이 업데이트는 22.x, 24.x, 26.x 계열에 적용됐고 20.x 계열에는 수정 계획이 없습니다. 브로틀리를 내장한 Bun, Envoy 등 다른 소프트웨어는 각자 수정판 반영 여부를 확인해야 하는 상태입니다.

타임라인 기록 3개

  1. 2026년 10월 21일✓ 확인됨

    Node.js, 브로틀리 결함 보안 업데이트 배포

    Node.js가 지원 중인 22.x, 24.x, 26.x 세 계열에 보안 업데이트를 냈다. 총 10건의 결함을 고쳤고, 그중 가장 심각한 것이 번들된 브로틀리 압축 해제 코드의 원격 코드 실행 가능 버그이다. 고정 버전은 각각 22.23.4, 24.22.1, 26.12.1이다. 같은 날 Brotli 프로젝트의 CVE-2026-111497(경계 밖 쓰기로 인한 원격 코드 실행)도 등록됐다.

    🔗 The Hacker News🗄 Vulners
  2. 2026년 10월 23일보도됨

    OpenAI, 브로틀리 라이브러리 취약점 공개

    OpenAI의 레드티밍 점검에서 브로틀리 압축 라이브러리의 인증 없이 원격 코드를 실행할 수 있는 취약점이 발견됐다고 보도됐다.

    🔗 FinancialJuice🔗 FinancialJuice
  3. 2026년 10월 23일보도됨

    보안업체 Imperva, 공식 Node.js 이미지에서 코드 실행 재현

    Imperva가 Node.js 24.22.0 공식 리눅스 arm64 이미지에서 이 결함으로 코드를 실행했다는 보도가 나왔다. 디버거나 별도 빌드 없이 재현했다고 전해졌다. 결함은 CVE-2026-111497로 식별됐고, 조작된 브로틀리 데이터가 메모리를 손상시킬 수 있다. 수정판은 Node 22.23.4, 24.22.1, 26.12.1이다.

    🔗 DEV Community🔗 Runtimewire
이 사건 이야기 아직 없어요 · 익명으로 생각을 나눠요
이 사건으로 글쓰기

이 사건, 잊지 않도록 기억해 둘까요?

기억해 두면 다음 전개가 기록될 때 알려 드려요. 앱과 같은 목록이라 어디서든 이어져요.

앱에서도 같은 목록으로 알림을 받을 수 있어요.

App Store컴퓨터 앱(맥·윈도)

저작권 침해 신고: 106ljune@gmail.com (받는 즉시 내려요). 확인됨=언론 2곳 이상·공식기록 일치, 보도됨=언론 1곳, 미확인=블로그·커뮤니티에만 있음. 중요한 내용은 출처에서 꼭 확인하세요. 잘못된 내용은 106ljune@gmail.com 으로 알려주세요.