أثناء هذا التمرين لفريق الاختراع الأحمر، وجدنا أيضًا ثغرة تسمح بتنفيذ تعليمات برمجية عن بُعد دون مصادقة في Brotli، وهي مكتبة ضغط منتشرة على نطاق واسع ومضمّنة في العديد من البرامج مثل Node.js وBun وEnvoy.
يمكن لهذه الثغرة أن تتيح للمهاجم تشغيل شيفرته البرمجية الخاصة على الأنظمة المتأثرة عن طريق إرسال بيانات مضغوطة ضارة أو الرد بها، دون أي حاجة لإنشاء حساب مستخدم. أي أن خادمًا غير مُحدَّث يقبل المدخلات المضغوطة قد يتم الاستيلاء عليه من قبل عميل خبيث، وعميل غير مُحدَّث يقبل المدخلات المضغوطة (مثل "curl --compressed") قد يتم الاستيلاء عليه من قبل خادم خبيث.
تم في الواقع إصلاح مشكلة السبب الجذري هذه في شيفرة Brotli البرمجية في شهر فبراير، لكن لم يكن معروفًا في ذلك الوقت أنها تؤدي إلى ثغرة أمنية، ولم يكن هناك إصدار أحدث من Brotli. وبما أن Brotli مدمجة في برامج أخرى، فإن أي برنامج يتضمن هذه المكتبة يحتاج أيضًا إلى تبنّي التحديث، يليه مستخدمو ذلك البرنامج. لقد أبلغنا عن الثغرة إلى Brotli ومشاريع أخرى downstream مثل Node.js، التي أصدرت أو تقوم حاليًا بإصدار تحديثات أمنية، وأصدرت Brotli إصدارات جديدة ونشرت رقم CVE.
مزيد من التفاصيل حول التصحيح والتدابير المخففة أدناه:
https://patchtheplanet.org/brotli