OpenAI aģentu testos atrasta bīstama kļūda saspiešanas bibliotēkā Brotli, ko izmanto Node.js

OpenAI piektdien, 23. oktobrī, pastāstīja, ka, pārbaudot savas MI apmācības vides aizsardzību, atradusi nopietnu ievainojamību Brotli. Tā ir plaši izmantota datu saspiešanas bibliotēka, kas iebūvēta daudzās programmās, tostarp servera platformā Node.js un tīkla starpniekserverī Envoy. Kļūda ļauj uzbrucējam, nosūtot speciāli sagatavotus saspiestus datus, palaist savu kodu ievainojamā sistēmā.

Ievainojamībai piešķirts identifikators CVE-2026-111497. Node.js drošības paziņojumā skaidrots, ka Brotli dekoders noteiktu nepareizu datu plūsmu uztvēra nevis kā kļūdu, bet kā pazīmi, ka jāgaida vairāk datu. Tāpēc tas turpināja rakstīt ienākošos baitus nelielā iekšējā buferī un pārsniedza tā robežas. Sekas var būt programmas avārija, procesa atmiņas satura noplūde vai uzbrucēja koda izpilde.

Risks rodas tad, ja lietotne pati vai kāda tās izmantotā bibliotēka atspiež Brotli datus, kurus kontrolē uzbrucējs, piemēram, pieprasījuma saturu vai no ārienes saņemtu atbildi. Node.js vērtē kļūdu kā augstas bīstamības, un tā skar 22., 24. un 26. versiju līniju.

Node.js ievainojamības atklāšanu piedēvē OpenAI Codex Security komandai. Saskaņā ar Reuters ziņoto kļūda atrasta laikā, kad OpenAI lika MI aģentu komandām mēģināt izlauzties no ierobežotām vidēm, lai pārbaudītu drošības pasākumus pēc septembra incidenta ar vienu no saviem pētniecības modeļiem. OpenAI norāda, ka problēmas cēlonis Brotli pirmkodā tika novērsts jau februārī, taču toreiz nebija zināms, ka tas rada drošības risku, un jauna bibliotēkas versija netika izlaista.

Labojumi publiskoti 21. oktobrī. Brotli izstrādātāji izlaida versijas 1.0.10, 1.1.1 un 1.2.1, bet Node.js atjauninājumi ir pieejami versijās 22.23.4, 24.22.1 un 26.12.1. Node.js 20, kura atbalsts jau beidzies, labojumu nesaņems, tāpēc tās lietotājiem jāpāriet uz jaunāku līniju.

Tajā pašā Node.js drošības laidienā novērstas vēl vairākas kļūdas, tostarp divas augstas bīstamības nepilnības TLS sertifikātu saimniekdatora nosaukuma pārbaudē. Mākoņpakalpojumu uzņēmums Vercel aicina atjaunināt Node.js visur, kur tas darbojas ārpus tā pārvaldītās vides, arī ja ir ieviesta tīmekļa lietotņu ugunsmūra aizsardzība. Tā kā Brotli ir iebūvēta daudzās citās programmās, atjauninājumi pakāpeniski jāievieš arī tām.