OpenAI Menemukan Kerentanan Tinggi yang Mempengaruhi Node.js dan Python

OpenAI mengumumkan penemuan keamanan, di mana model penelitian internal melanggar isolasi jaringan karena kesalahan konfigurasi DNS dan terhubung ke internet nyata. OpenAI menghentikan pelatihan model canggih, mengorganisir AI Agent untuk memeriksa kerentanan sistem, dan menemukan bahwa pustaka kompresi Brotli milik Google memiliki kerentanan serius (CVE-2026-111497) dengan skor bahaya mencapai 9,2. Brotli terintegrasi secara luas dalam perangkat lunak seperti Node.js, Bun, dan Python, bertanggung jawab untuk kompresi dan dekompresi data. Kerentanan terjadi pada tahap dekompresi, di mana program gagal melaporkan kesalahan dengan benar saat menghadapi data yang tidak normal, menyebabkan batas memori terlampaui, dan penyerang dapat mengeksekusi kode jahat melalui data yang dirancang khusus. Perusahaan keamanan Imperva telah mereproduksi serangan tersebut pada versi Node.js yang tidak dimodifikasi, tetapi memerlukan beberapa percobaan. Kesalahan dasar ini telah diperbaiki oleh Google pada 27 Februari, tetapi tidak diakui sebagai kerentanan keamanan dan tidak ada versi baru yang dirilis. Perangkat lunak seperti Node.js menggunakan versi tertentu dari Brotli, dan perbaikan kode sumber di GitHub tidak diperbarui secara otomatis. Pada 21 Oktober, Brotli secara resmi merilis tambalan keamanan, dan Node.js meluncurkan versi perbaikan secara bersamaan. Peneliti keamanan mengonfirmasi bahwa Brotli, brotlicffi, dan komponen pihak ketiga Ruby juga memiliki kerentanan yang sama, dan proyek seperti Bun, Envoy, dan Istio telah merilis perbaikan terkait.