Parameter Labs מפרטת השתלטות על חשבון ChatGPT דרך בריחת ארגז חול

Parameter Labs תיארה ניצול לרעה ביישום של ChatGPT לתבנית artifacts, שאותה OpenAI כינתה בעבר "Canvas" וכעת מכנה תצוגות מקדימות של HTML, שבהן אפליקציות HTML מותאמות ואינטראקטיביות פועלות ב-iframe בארגז חול. השרשרת יכלה לאפשר לתוקף ליצור כתובת URL לשיתוף של ChatGPT שכאשר משתמש מחובר אחר פותח אותה, היא תחלץ נתונים פרטיים או תבצע פעולות בשמו. OpenAI סגרה את הפגיעות ושילמה פרס באגים של $5,000.

כיצד פעלה שרשרת התקיפה

ChatGPT משתמשת בספריית MathLive JavaScript לתמיכה בגרפים, וספרייה זו כוללת מקלדת וירטואלית. ניתן להפעיל את המקלדת בעמוד האב דרך postMessage() מתוך ה-iframe בארגז החול. הקוד שמקבל את ההודעות האלה משתמש ב-innerHTML, ולא היה מנגנון שמונע ממסגרות אחרות בארגז חול, כולל מסגרות של תצוגות מקדימות של HTML, לקרוא לשיטה הזו.

זה אפשר לקוד iframe לא מהימן להכניס HTML מותאם אישית לעמוד האב. אף ש-innerHTML אינו מריץ ישירות רכיבי script, ניתן היה להשתמש בו כדי להזריק iframe חדש ללא מגבלות ארגז חול. מדיניות אבטחת התוכן של OpenAI חסמה סקריפטים מוטמעים ואפשרה טעינת סקריפטים רק ממספר קטן של דומיינים, אך YouTube היה ביניהם. נקודת הקצה YouTube oEmbed יכלה לשקף JavaScript באופן שהריץ אותו.

ההשפעה והתיקון

לאחר שלתוקף הייתה הרצת JavaScript ב-ChatGPT, היה טריוויאלי לשלוף נתוני משתמש פרטיים מ-APIs ולחלץ אותם דרך הפניה לתמונה. התוצאה הייתה קישור משותף שיכל לפגוע במבקר מחובר אחר. OpenAI תיקנה את החור ושילמה פרס של $5,000; Simon Willison, שקישר לדוח, אמר שלדעתו הסכום היה קצת זול עבור פגיעות כה חמורה.

מקורות: Simon Willison