OpenAI виявила критичну вразливість, що впливає на Node.js та Python

OpenAI оприлюднила інформацію про безпеку, в якій зазначається, що внутрішня дослідницька модель через помилку в налаштуванні DNS порушила мережеву ізоляцію та підключилася до реального Інтернету. OpenAI призупинила навчання передових моделей, організувала перевірку системних вразливостей AI Agent і виявила серйозну вразливість у бібліотеці стиснення Google Brotli (CVE-2026-111497) з небезпечною оцінкою 9.2. Brotli широко інтегровано в програмне забезпечення, таке як Node.js, Bun, Python тощо, і відповідає за стиснення та розпакування даних. Вразливість виникає на етапі розпакування, коли програма не може правильно обробити аномальні дані, що призводить до переповнення пам'яті, і зловмисник може виконати шкідливий код за допомогою спеціально підготовлених даних. Компанія з безпеки Imperva вже відтворила атаку на незмінній версії Node.js, але для цього знадобилося кілька спроб. Ця базова помилка була виправлена Google ще 27 лютого, але не була визнана вразливістю безпеки, нова версія не була випущена. Програмне забезпечення, таке як Node.js, використовує певну версію Brotli, а виправлення коду на GitHub не було автоматично оновлено. 21 жовтня Brotli офіційно випустила патч безпеки, а Node.js одночасно випустила версію з виправленням. Дослідники з безпеки підтвердили, що компоненти Brotli, brotlicffi та сторонні компоненти Ruby також мають ту ж вразливість, проекти Bun, Envoy, Istio та інші вже випустили відповідні виправлення.