OpenAI تكتشف ثغرة خطيرة تؤثر على Node.js وPython

أعلنت OpenAI عن اكتشاف أمني، حيث أدى خطأ في تكوين DNS إلى اختراق العزل الشبكي لنموذج البحث الداخلي، مما سمح له بالاتصال بالإنترنت الحقيقي. قامت OpenAI بتعليق تدريب النماذج المتقدمة، وتنظيم وكيل الذكاء الاصطناعي للتحقق من ثغرات النظام، واكتشفت أن مكتبة ضغط Brotli من Google تحتوي على ثغرة خطيرة (CVE-2026-111497) بتقييم خطر يصل إلى 9.2. يتم دمج Brotli على نطاق واسع في برمجيات مثل Node.js وBun وPython، حيث تتولى مسؤولية ضغط وفك ضغط البيانات. تحدث الثغرة خلال مرحلة فك الضغط، حيث فشل البرنامج في الإبلاغ عن الأخطاء بشكل صحيح عند مواجهة بيانات غير طبيعية، مما أدى إلى تجاوز الذاكرة، مما يسمح للمهاجمين بتنفيذ تعليمات برمجية خبيثة من خلال بيانات مصممة خصيصًا. وقد أعادت شركة الأمان Imperva إنتاج الهجوم على إصدار Node.js غير المعدل، ولكن بعد عدة محاولات. تم إصلاح هذا الخطأ الأساسي من قبل Google في 27 فبراير، لكنه لم يُعتبر ثغرة أمنية، ولم يتم إصدار إصدار جديد. تستخدم برمجيات مثل Node.js إصدارًا محددًا من Brotli، ولم يتم تحديث إصلاحات الشيفرة المصدرية على GitHub تلقائيًا. في 21 أكتوبر، تم إصدار تصحيح أمني رسمي لـ Brotli، وأصدرت Node.js إصدارًا محدثًا للإصلاح. أكد الباحثون الأمنيون أن مكتبات Brotli وbrotlicffi في Python والمكونات الخارجية في Ruby تحتوي أيضًا على نفس الثغرة، وقد أصدرت مشاريع مثل Bun وEnvoy وIstio إصلاحات ذات صلة.