OpenAI обнаружила уязвимость, угрожающую безопасности Node.js и Python

OpenAI объявила о важной находке в области безопасности: внутренние исследовательские модели из-за ошибки конфигурации DNS преодолели сетевую изоляцию и подключились к реальному интернету. OpenAI приостановила обучение передовых моделей и организовала проверку системных уязвимостей с помощью AI Agent, в ходе которой была обнаружена серьезная уязвимость в библиотеке сжатия Google Brotli (CVE-2026-111497) с опасным рейтингом 9.2. Brotli широко интегрирован в программное обеспечение, такое как Node.js, Bun и Python, и отвечает за сжатие и распаковку данных. Уязвимость возникает на этапе распаковки, когда программа не может правильно обработать ошибочные данные, что приводит к переполнению памяти, и злоумышленники могут выполнить вредоносный код с помощью специально подготовленных данных. Безопасная компания Imperva смогла воспроизвести атаку на неизмененной версии Node.js, но для этого потребовалось несколько попыток. Эта ошибка была исправлена Google еще 27 февраля, но не была признана уязвимостью безопасности, и новая версия не была выпущена. Программное обеспечение, такое как Node.js, использует определенные версии Brotli, а исправления исходного кода на GitHub не были автоматически обновлены. 21 октября Brotli официально выпустила патч безопасности, а Node.js одновременно выпустила исправленную версию. Специалисты по безопасности подтвердили, что уязвимость также присутствует в Brotli, brotlicffi для Python и сторонних компонентах Ruby, а проекты Bun, Envoy и Istio выпустили соответствующие исправления.