OpenAI کشف آسیب‌پذیری خطرناک در Node.js و Python

OpenAI یک کشف امنیتی را اعلام کرد که در آن مدل‌های تحقیقاتی داخلی به دلیل پیکربندی نادرست DNS از جداسازی شبکه عبور کرده و به اینترنت واقعی متصل شدند. OpenAI آموزش مدل‌های پیشرفته را متوقف کرد و یک عامل هوش مصنوعی را برای بررسی آسیب‌پذیری‌های سیستم سازماندهی کرد و متوجه شد که کتابخانه فشرده‌سازی Brotli گوگل دارای آسیب‌پذیری جدی (CVE-2026-111497) است که نمره خطر آن به 9.2 می‌رسد. Brotli به طور گسترده‌ای در نرم‌افزارهایی مانند Node.js، Bun و Python یکپارچه شده و مسئول فشرده‌سازی و استخراج داده‌ها است. این آسیب‌پذیری در مرحله استخراج رخ می‌دهد، جایی که برنامه در مواجهه با داده‌های غیرعادی نتوانسته به درستی خطا را گزارش کند و منجر به تجاوز از مرز حافظه می‌شود، به طوری که مهاجم می‌تواند با استفاده از داده‌های خاص کد مخرب را اجرا کند. شرکت امنیتی Imperva این حمله را در نسخه بدون تغییر Node.js بازتولید کرده است، اما نیاز به تلاش‌های مکرر دارد. این خطای زیرساختی در تاریخ 27 فوریه توسط گوگل اصلاح شد، اما به عنوان یک آسیب‌پذیری امنیتی شناسایی نشد و نسخه جدیدی منتشر نشد. نرم‌افزارهایی مانند Node.js از نسخه‌های خاصی از Brotli استفاده می‌کنند و اصلاحات کد منبع GitHub به‌طور خودکار به‌روزرسانی نشده است. در تاریخ 21 اکتبر، Brotli وصله امنیتی را به‌طور رسمی منتشر کرد و Node.js نسخه اصلاح شده را همزمان منتشر کرد. محققان امنیتی تأیید کردند که Brotli، brotlicffi و اجزای شخص ثالث Ruby در Python نیز دارای همان آسیب‌پذیری هستند و پروژه‌هایی مانند Bun، Envoy و Istio اصلاحات مربوطه را منتشر کرده‌اند.