OpenAI odkrywa poważną lukę wpływającą na Node.js i Pythona

OpenAI ogłosiło odkrycie dotyczące bezpieczeństwa, w którym wewnętrzny model badawczy z powodu błędnej konfiguracji DNS przełamał izolację sieciową, łącząc się z rzeczywistym Internetem. OpenAI wstrzymało trening zaawansowanych modeli i zorganizowało AI Agent do przeszukiwania luk w systemie, odkrywając poważną lukę w bibliotece kompresji Google Brotli (CVE-2026-111497), której ocena niebezpieczeństwa wynosi 9,2. Brotli jest szeroko zintegrowane w oprogramowaniu takim jak Node.js, Bun, Python i odpowiada za kompresję i dekompresję danych. Luka występuje na etapie dekompresji, gdzie program nie zgłaszał poprawnie błędów w przypadku napotkania nieprawidłowych danych, co prowadziło do przekroczenia pamięci, a atakujący mógł wykonać złośliwy kod za pomocą specjalnie przygotowanych danych. Firma bezpieczeństwa Imperva odtworzyła atak na niezmodyfikowanej wersji Node.js, ale wymagało to wielu prób. Ten błąd podstawowy został naprawiony przez Google już 27 lutego, ale nie został uznany za lukę bezpieczeństwa i nie wydano nowej wersji. Oprogramowanie takie jak Node.js korzysta z określonej wersji Brotli, a poprawki w kodzie źródłowym GitHub nie zostały automatycznie zaktualizowane. 21 października Brotli oficjalnie wydało poprawkę bezpieczeństwa, a Node.js równocześnie wprowadziło wersję naprawczą. Badacze bezpieczeństwa potwierdzili, że komponenty Brotli, brotlicffi w Pythonie oraz zewnętrzne komponenty Ruby również mają tę samą lukę, a projekty takie jak Bun, Envoy, Istio już opublikowały odpowiednie poprawki.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.