שיתוף קישורים של Grok Build חשף אלפי אפליקציות, כולל נתונים של SpaceXSI

חברת האבטחה Claroc אומרת ש-Grok Build, סוכן קידוד של SpaceXSI, חשף אפליקציות ונתונים של אלפי משתמשים באמצעות קישורים ניתנים לשיתוף. הקישורים משתמשים בביטויים אקראיים, אך פגם עיצובי ממקם את האקראיות משמאל לדומיין, ומאפשר לשירותי DNS פסיביים למנות אותם. Claroc אומרת שיותר מ-35,000 מתוך 43,601 קישורים שמצאה היו ציבוריים, ולחיצה עליהם פתחה את האפליקציות ואת הנתונים המאוחסנים שלהן.

מה Claroc מצאה

Claroc אמרה שהנתונים החשופים כללו תוכניות עסקיות פנימיות, הצעות פרסום, תוצאות בדיקות רפואיות, רשימת מטבח של ספינת תענוגות, ושמות עובדים ומספרי זיהוי. היא מצאה 24 אפליקציות שפותחו על ידי SpaceXSI, כולל תוכנית קליטה חסויה, מפת טריטוריית מכירות של 594 חשבונות, כתובות מערכת פנימיות, והצעות פרסום. החברה גם רשמה ארגונים ונתונים שנפגעו, כגון חברת בנייה פרואנית עם 3,784 בדיקות רפואיות של עובדים, כרטיסי ניקוד של מרכזי שירות של Tesla המציינים 22 טכנאים, רשימת תמיכה לוגיסטית של חיל הים של 108 אנשים, רשימת ספינת תענוגות יוקרתית המפרטת צוות לפי שם ומספר עובד, רשימת בריאות של כ-3,565 עובדים, הצעה קמעונאית חסויה עם רשימת חומרים של חומרה, לוח עומס ומטריצת הדרכה HSE של קבוצת תעופה וחלל והגנה, גיליון שיחות מכירות של בנייה ביתית עם כ-583 לקוחות פוטנציאליים, מוניטור פרויקטים של חברת אחזקות מלזית עבור 37 פיתוחים, דסק הצעות מחיר להובלה אוטומטית עם כ-4,000 הזמנות, והצעת מעבר IP חסויה.

איך הפגם עובד

קישורי Grok Build נועדו לאפשר למפתחים לשתף אפליקציות במהירות. הצד השמאלי מכיל שתי מילים אקראיות או יותר, בעוד הצד הימני הוא grok.me. Claroc אמרה שהצבת האקראיות משמאל לדומיין מאפשרת לשירותי DNS פסיביים ללכוד ולחפש חיפושים עבור כתובות URL שטרם נראו. היא אמרה שביטוי של שלוש מילים אקראיות מכיל בערך 38 סיביות של אנטרופיה, אך המיקום מביס את ההגנה המיועדת. קישורים בסגנון Google ממקמים את האלמנט האקראי בנתיב, מה שלדברי Claroc ישמור אותם בלתי נראים למחפשי DNS פסיביים.

תגובות וסיכון רחב יותר

Claroc הודיעה ל-SpaceXSI ביום ראשון ומאוחר יותר תייגה את Elon Musk ואת מנהל Grok Matt Palmer ב-X. SpaceXSI החלה להסיר קישורים בתוך שעות לאחר ש-Ars Technica שלחה שאלות, וקישורים עבור כל 24 האפליקציות החזירו שגיאת 'app not found' עד הפרסום. נציג של Cursor אמר שאפליקציות Grok Build הן פרטיות כברירת מחדל ושום דבר לא הופך לציבורי אלא אם היוצר בוחר לשתף אותו, אבל הבדיקות של Claroc סתרו את ההצהרה הזו. Claroc אמרה ש-Lovable, Bolt ו-Replit גם נותנות לאפליקציות כתובות אינטרנט משלהן, כך שאותם רשומות DNS יכולות לחשוף אותן, אף של-Grok היו הנתונים הרגישים ביותר של החברה. היא אמרה ש-Claude, ChatGPT ו-Gemini עוקבות אחר הנוהג הבטוח יותר על ידי שמירת אקראיות סודית בנתיב ה-URL. המייסד השותף וה-CTO של Claroc, Asaf Aprozper, אמר שהוא מודיע לחברות שנפגעו, וצוות האבטחה של חברת הספינות היוקרתית כבר עבד כדי להכיל את החשיפה. כל מי שמשתמש בקישורים ניתנים לשיתוף עם Grok Build צריך לבחור באפשרות 'invite others' אלא אם הוא מתכוון להפוך אפליקציה לזמינה באופן נרחב.

מקורות: Ars Technica