קישור משותף ל-ChatGPT יכול היה להריץ קוד תוקף בסשן שלך ולקרוא צ'אטים פרטיים

חוקרים בחברת האבטחה Parameter גילו שקישור משותף זדוני ל-ChatGPT יכול היה להריץ קוד של תוקף בתוך הסשן המחובר של כל מי שפתח אותו, ובכך לאפשר גישה לשיחות פרטיות. הפגם דווח דרך תוכנית פרס הבאגים של OpenAI ב-18 באוקטובר, תוקן שמונה ימים לאחר מכן, ודורג P1, הקטגוריה החמורה ביותר של OpenAI. ההתקפה השתמשה בצ'אט משותף רגיל ולא דרשה מהנתקף להתקין תוכנה, להצטרף למרחב עבודה או להתחבר דרך התוקף.

מה הפגם איפשר

ברגע שנפתח הקישור, הקוד רץ עם אותה גישה כמו אתר ChatGPT האמיתי. הוא הציג את השיחות האחרונות, פתח צ'אט פרטי שמעולם לא שותף עם התוקף, ושלח חלק קטן ממנו לשרת שבשליטת החוקרים. מכיוון שקרא ישירות לממשקי ה-API של ChatGPT במצב מחובר, החוקרים אמרו שהוא יכול היה לבצע פעולות בשם חשבון הנתקף. העבודה הייתה בדיקה מבוקרת: Parameter לא דיווחה על שימוש בעולם האמיתי, וההוכחה עם הצ'אט הפרטי רצה בין חשבונות נפרדים.

כיצד פעלה ההתקפה

תכונת Preview של ChatGPT יכולה להפוך בלוק HTML בצ'אט לדף אינטרנט קטן, שרץ במסגרת נעולה בכתובת אינטרנט נפרדת. ארגז החול הזה החזיק מעמד. הדרך פנימה הגיעה מגרף אינטראקטיבי באותו צ'אט משותף: ציורו טען את ספריית MathLive לתוך עמוד ChatGPT הראשי. טעינת MathLive השאירה מאזין להודעות על המקלדת שעל המסך, ו-Parameter מצאה שהוא קיבל הודעת מקלדת מכל שולח. ההודעה הזו יכלה לשאת HTML גולמי, מה שאיפשר ל-Preview להעביר HTML של התוקף לעמוד הראשי המהימן. ה-HTML בנה מסגרת חדשה שהדפדפן התייחס אליה כחלק מ-chatgpt.com, ותסריט שנטען מ-YouTube סיפק את הקוד. מדיניות אבטחת התוכן של ChatGPT חסמה קוד מוטמע אך התירה תסריטים מ-YouTube.

מה OpenAI תיקנה

OpenAI שיחזרה גם את הרצת הקוד וגם את ההוכחה עם הצ'אט הפרטי, העלתה את רמת החומרה מ-P2 ל-P1, ופרסה תיקון בשתי גרסאות של ממשק האינטרנט של ChatGPT. עד 26 באוקטובר, שתי הגרסאות דחו את ההודעות שההתקפה הסתמכה עליהן. Parameter ייחסה את הבעיה לשלוש בחירות תכנון: MathLive פעלה לפי הודעה ששינתה את הגדרותיה בלי לבדוק איזו מסגרת שלחה אותה; ההודעה הזו יכלה לשאת HTML גולמי כנתוני פריסת מקלדת; וה-HTML יכול היה ליצור מסגרת שלא הייתה בארגז חול וירשה את זהות chatgpt.com. שלב YouTube היה רק דרך העקיפה הסופית, לא הגורם.

מה המשתמשים צריכים לעשות

משתמשי ChatGPT לא צריכים לעשות דבר. התיקון בצד של OpenAI, ואין מה להתקין או לאפס. Parameter פרסמה את הכתיבה שלה ב-28 באוקטובר, לאחר התיקון, ו-OpenAI שילמה עבור הדיווח סך של 5,000 דולר.

מקורות: The Hacker News