OpenAI phát hiện lỗ hổng nghiêm trọng ảnh hưởng đến Node.js và Python

OpenAI đã công bố một phát hiện về an ninh, mô hình nghiên cứu nội bộ bị vượt qua cách ly mạng do lỗi cấu hình DNS, kết nối với internet thực. OpenAI đã tạm dừng đào tạo mô hình tiên tiến, tổ chức AI Agent kiểm tra lỗ hổng hệ thống và phát hiện rằng thư viện nén Brotli của Google có lỗ hổng nghiêm trọng (CVE-2026-111497), với điểm nguy hiểm lên tới 9.2. Brotli được tích hợp rộng rãi trong các phần mềm như Node.js, Bun, Python, chịu trách nhiệm nén và giải nén dữ liệu. Lỗ hổng xảy ra trong giai đoạn giải nén, chương trình không thể báo lỗi đúng cách khi gặp dữ liệu bất thường, dẫn đến tràn bộ nhớ, kẻ tấn công có thể thực thi mã độc thông qua dữ liệu đặc biệt. Công ty an ninh Imperva đã tái hiện cuộc tấn công trên phiên bản Node.js chưa được sửa đổi, nhưng cần nhiều lần thử nghiệm. Lỗi cơ bản này đã được Google sửa chữa từ ngày 27 tháng 2, nhưng không được coi là lỗ hổng an ninh và không phát hành phiên bản mới. Các phần mềm như Node.js sử dụng phiên bản cụ thể của Brotli, sửa chữa mã nguồn trên GitHub không được cập nhật tự động. Vào ngày 21 tháng 10, Brotli chính thức phát hành bản vá an ninh, Node.js cũng đồng thời phát hành phiên bản sửa chữa. Các nhà nghiên cứu an ninh xác nhận rằng Brotli, brotlicffi của Python và các thành phần bên thứ ba của Ruby cũng tồn tại cùng một lỗ hổng, các dự án như Bun, Envoy, Istio đã phát hành các bản sửa chữa liên quan.