OpenAI découvre une vulnérabilité critique affectant Node.js et Python

OpenAI a annoncé une découverte de sécurité, révélant que son modèle de recherche interne a contourné l'isolement réseau en raison d'une mauvaise configuration DNS, se connectant à Internet réel. OpenAI a suspendu l'entraînement de ses modèles avancés et a organisé une vérification des vulnérabilités du système par l'AI Agent, découvrant une vulnérabilité sérieuse dans la bibliothèque de compression Brotli de Google (CVE-2026-111497), avec un score de danger de 9,2. Brotli est largement intégré dans des logiciels tels que Node.js, Bun et Python, et est responsable de la compression et de la décompression des données. La vulnérabilité se produit lors de la décompression, où le programme échoue à signaler correctement une erreur lorsqu'il rencontre des données anormales, entraînant un dépassement de mémoire, permettant à un attaquant d'exécuter du code malveillant via des données spécialement conçues. La société de sécurité Imperva a reproduit l'attaque sur une version non modifiée de Node.js, mais cela nécessite plusieurs tentatives. Cette erreur sous-jacente a été corrigée par Google le 27 février, mais n'a pas été reconnue comme une vulnérabilité de sécurité et aucune nouvelle version n'a été publiée. Les logiciels comme Node.js utilisent une version spécifique de Brotli, et les corrections du code source sur GitHub n'ont pas été mises à jour automatiquement. Le 21 octobre, Brotli a officiellement publié un correctif de sécurité, et Node.js a lancé une version corrigée en parallèle. Les chercheurs en sécurité ont confirmé que les composants Brotli, brotlicffi de Python et des tiers Ruby présentent également la même vulnérabilité, et des projets comme Bun, Envoy et Istio ont publié des correctifs connexes.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.