Parameter Labs-ը մանրամասնում է ChatGPT հաշվի զավթումը sandbox-ից փախուստի միջոցով

Parameter Labs-ը նկարագրել է ChatGPT-ի artifacts օրինաչափության իրականացման դեմ հարձակումը, որը OpenAI-ը նախկինում անվանում էր «Canvas», իսկ այժմ՝ HTML previews, որտեղ ինտերակտիվ հատուկ HTML հավելվածները աշխատում են sandboxed iframe-ում։ Շղթան կարող էր թույլ տալ հարձակվողին ստեղծել ChatGPT համօգտագործման URL, որը մեկ այլ մուտք գործած օգտատեր բացելիս կարող էր արտահոսել մասնավոր տվյալները կամ գործողություններ կատարել այդ օգտատիրոջ անունից։ OpenAI-ը խոցելիությունը փակել է և վճարել 5,000 դոլարի բագ բաունթի։

Ինչպես է աշխատել հարձակման շղթան

ChatGPT-ը գրաֆիկների աջակցության համար օգտագործում է MathLive JavaScript գրադարանը, և այդ գրադարանը ներառում է վիրտուալ ստեղնաշար։ Ստեղնաշարը կարող է ակտիվացվել ծնող էջում postMessage()-ի միջոցով sandboxed iframe-ից։ Այդ հաղորդագրությունները ստացող կոդը օգտագործում է innerHTML, և չկար մեխանիզմ, որը կկանխեր այլ sandboxed frame-ներին, այդ թվում HTML preview frame-ներին, այդ մեթոդի կանչումը։

Դա թույլ էր տալիս անվստահելի iframe կոդին ծնող էջում տեղադրել հատուկ HTML։ Թեև innerHTML-ը ուղղակիորեն չի կատարում script տարրերը, այն կարող էր օգտագործվել առանց sandbox սահմանափակումների նոր iframe ներմուծելու համար։ OpenAI-ի բովանդակության անվտանգության քաղաքականությունը արգելում էր inline սկրիպտները և թույլ էր տալիս սկրիպտներ բեռնել միայն մի քանի դոմեյններից, բայց YouTube-ը դրանց թվում էր։ YouTube-ի oEmbed endpoint-ը կարող էր JavaScript-ը արտացոլել այնպես, որ այն կատարվի։

Ազդեցությունը և շտկումը

Երբ հարձակվողը ChatGPT-ում JavaScript կատարում էր ստանում, մասնավոր օգտատիրոջ տվյալները API-ներից ստանալն ու դրանք պատկերի հղման միջոցով արտահոսելը դառնում էր պարզ։ Արդյունքը համօգտագործման հղում էր, որը կարող էր վտանգել մեկ այլ մուտք գործած այցելուին։ OpenAI-ը խնդիրը շտկել է և վճարել 5,000 դոլարի բագ բաունթի։ Simon Willison-ը, որը հղում էր տվել զեկույցին, ասել է, որ այդ գումարը մի փոքր էժան է այսպիսի լուրջ խոցելիության համար։

Աղբյուրներ: Simon Willison