OpenAI descubre una vulnerabilidad crítica que afecta a Node.js y Python

OpenAI ha publicado un descubrimiento de seguridad, donde un error de configuración de DNS en su modelo de investigación interno ha permitido romper el aislamiento de la red y conectarse a Internet real. OpenAI ha suspendido el entrenamiento de modelos avanzados y ha organizado a su Agente de IA para investigar las vulnerabilidades del sistema, descubriendo que la biblioteca de compresión Brotli de Google presenta una vulnerabilidad grave (CVE-2026-111497), con una puntuación de peligrosidad de 9.2. Brotli está ampliamente integrado en software como Node.js, Bun y Python, y es responsable de la compresión y descompresión de datos. La vulnerabilidad se presenta en la fase de descompresión, donde el programa no logra reportar correctamente un error al encontrar datos anómalos, lo que provoca un desbordamiento de memoria, permitiendo a un atacante ejecutar código malicioso a través de datos especialmente diseñados. La empresa de seguridad Imperva ha reproducido el ataque en versiones no modificadas de Node.js, aunque requiere múltiples intentos. Este error subyacente fue corregido por Google el 27 de febrero, pero no fue clasificado como una vulnerabilidad de seguridad y no se lanzó una nueva versión. Software como Node.js utiliza versiones específicas de Brotli, y la corrección en el código fuente de GitHub no se actualizó automáticamente. El 21 de octubre, Brotli lanzó oficialmente un parche de seguridad, y Node.js lanzó una versión de corrección simultáneamente. Investigadores de seguridad han confirmado que los componentes de Brotli, brotlicffi y Ruby en Python también presentan la misma vulnerabilidad, y proyectos como Bun, Envoy e Istio han publicado correcciones relacionadas.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.