Parameter Labs, ChatGPT Hesap Ele Geçirme Zafiyetini Sandbox Kaçışı Üzerinden Açıkladı

Parameter Labs, OpenAI'nin daha önce “Canvas” adını verdiği ve şimdi HTML önizlemeleri olarak adlandırdığı artifacts kalıbının ChatGPT uygulamasına yönelik bir istismarı açıkladı. Bu kalıpta etkileşimli özel HTML uygulamaları sandbox'lı bir iframe içinde çalışır. Saldırı zinciri, bir saldırganın başka bir oturum açmış ziyaretçinin özel verilerini çalmasını veya onun adına işlem yapmasını sağlayacak bir ChatGPT paylaşım bağlantısı oluşturmasına izin verebilirdi. OpenAI zafiyeti kapattı ve 5.000 dolar hata ödülü ödedi.

Saldırı zinciri nasıl çalıştı

ChatGPT, grafik desteği için MathLive JavaScript kütüphanesini kullanır ve bu kütüphane sanal bir klavye içerir. Klavye, sandbox'lı iframe'den üst sayfaya postMessage() ile tetiklenebilir. Bu iletileri alan kod innerHTML kullanır ve sandbox'lı diğer çerçevelerin, HTML önizleme çerçeveleri dahil, bu yöntemi çağırmasını engelleyecek bir mekanizma yoktu.

Bu durum, güvenilmeyen iframe kodunun üst sayfaya özel HTML eklemesine izin verdi. innerHTML betik öğelerini doğrudan çalıştırmaz, ancak sandbox kısıtlamaları olmadan yeni bir iframe eklemek için kullanılabiliyordu. OpenAI'nin içerik güvenlik politikası satır içi betikleri engelliyor ve betik yüklemeye yalnızca birkaç etki alanından izin veriyordu, ancak YouTube bunlar arasındaydı. YouTube oEmbed uç noktası, JavaScript'i çalıştırılacak şekilde yansıtabiliyordu.

Etki ve düzeltme

Saldırgan ChatGPT üzerinde JavaScript çalıştırdıktan sonra, API'lerden özel kullanıcı verilerini almak ve bunları bir görüntü referansı üzerinden dışarı sızdırmak kolaylaşıyordu. Sonuç, başka bir oturum açmış ziyaretçiyi tehlikeye atabilen bir paylaşım bağlantısıydı. OpenAI açığı kapattı ve 5.000 dolar ödül ödedi; Simon Willison, rapora bağlantı vererek bu kadar ciddi bir zafiyet için bu miktarın biraz ucuz olduğunu söyledi.

Kaynaklar: Simon Willison