OpenAI scopre una vulnerabilità critica che colpisce Node.js e Python

OpenAI ha annunciato una scoperta di sicurezza, in cui un errore di configurazione DNS ha permesso ai modelli di ricerca interni di superare l'isolamento della rete e connettersi a Internet reale. OpenAI ha sospeso l'addestramento dei modelli all'avanguardia e ha organizzato un'agenzia AI per esaminare le vulnerabilità del sistema, scoprendo che la libreria di compressione Brotli di Google presenta una grave vulnerabilità (CVE-2026-111497), con un punteggio di pericolo di 9.2. Brotli è ampiamente integrato in software come Node.js, Bun e Python, ed è responsabile della compressione e decompressione dei dati. La vulnerabilità si verifica durante la fase di decompressione, dove il programma non riesce a segnalare correttamente gli errori quando incontra dati anomali, portando a un overflow di memoria, consentendo agli aggressori di eseguire codice malevolo tramite dati appositamente progettati. La società di sicurezza Imperva ha replicato l'attacco su una versione non modificata di Node.js, ma è necessario tentare più volte. Questo errore di base è stato corretto da Google il 27 febbraio, ma non è stato riconosciuto come vulnerabilità di sicurezza e non è stata pubblicata una nuova versione. Software come Node.js utilizza versioni specifiche di Brotli, e le correzioni del codice sorgente su GitHub non sono state aggiornate automaticamente. Il 21 ottobre, Brotli ha ufficialmente rilasciato una patch di sicurezza, e Node.js ha lanciato una versione correttiva in concomitanza. I ricercatori di sicurezza hanno confermato che anche i componenti di terze parti Brotli, brotlicffi di Python e Ruby presentano la stessa vulnerabilità, e progetti come Bun, Envoy e Istio hanno rilasciato correzioni correlate.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.