在此次红队演练中，我们还发现了一个漏洞，该漏洞允许在 Brotli 中进行未经身份验证的远程代码执行。Brotli 是一种被广泛部署的压缩库，包含在许多软件中，例如 Node.js、Bun 和 Envoy。
该漏洞可以让攻击者通过发送或回复恶意压缩数据，在受影响的系统上运行自己的代码，而无需创建任何用户账户。也就是说，接受压缩输入的未修补服务器可能被恶意客户端接管，而接受压缩输入的未修补客户端（例如 “curl --compressed”）可能被恶意服务器接管。
这个根本原因问题实际上已于二月份在 Brotli 源代码中修复，但当时并不知道它会引发安全漏洞，而且 Brotli 此后没有发布更新的版本。由于 Brotli 被内置到其他软件中，任何包含该库的软件都需要跟进此更新，随后是该软件的用户。我们向 Brotli 以及其他下游项目（例如 Node.js）披露了该漏洞，这些项目已发布或正在发布安全更新，Brotli 也发布了新版本并公布了 CVE。
有关补丁和缓解措施的更多详情如下：
https://patchtheplanet.org/brotli