Спільний доступ до посилань Grok Build розкрив тисячі застосунків, зокрема дані SpaceXSI

Компанія Claroc із кібербезпеки повідомляє, що Grok Build, агент для кодування від SpaceXSI, розкрив застосунки та дані тисяч користувачів через спільні посилання. Посилання використовують випадкові фрази, але конструктивна вада розміщує цю випадковість ліворуч від домену, що дає змогу службам пасивного DNS перелічувати їх. Claroc каже, що понад 35 000 із 43 601 знайдених посилань були публічними, а після натискання відкривалися застосунки та їхні збережені дані.

Що знайшла Claroc

Claroc повідомила, що серед розкритих даних були внутрішні бізнес-плани, рекламні пропозиції, результати медичних обстежень, чекліст камбуза круїзного судна та імена й номери посвідчень працівників. Фірма знайшла 24 застосунки, створені SpaceXSI, зокрема конфіденційний план онбордингу, карту території продажів із 594 рахунками, внутрішні адреси систем та рекламні пропозиції. Фірма також перелічила постраждалі організації та дані, зокрема перуанську будівельну компанію з 3 784 медичними обстеженнями працівників, картки оцінювання сервісних центрів Tesla, що називають 22 техніків, список логістичної підтримки ВМС на 108 осіб, чекліст розкішного круїзу з екіпажем за іменами та номерами посвідчень, медичний реєстр приблизно на 3 565 працівників, конфіденційну роздрібну пропозицію з відомістю матеріалів для апаратного забезпечення, дошку завантажень і матрицю навчання з охорони праці та безпеки (HSE) аерокосмічної та оборонної групи, аркуш продажних дзвінків домобудівної компанії приблизно на 583 потенційних клієнтів, монітор 37 проєктів малайзійської холдингової компанії, стіл котирувань автотранспорту приблизно на 4 000 замовлень і конфіденційну пропозицію IP-транзиту.

Як працює вада

Посилання Grok Build призначені для швидкого поширення застосунків розробниками. Ліва частина містить два або більше випадково згенерованих «слів-кубиків», а права частина: grok.me. Claroc повідомила, що розміщення випадковості ліворуч від домену дає змогу службам пасивного DNS фіксувати й шукати DNS-запити до раніше невідомих URL. Вона також сказала, що фраза з трьох таких слів має приблизно 38 біт ентропії, але розміщення скасовує задуманий захист. Посилання в стилі Google розміщують випадковий елемент у шляху, що, за словами Claroc, робить їх невидимими для засобів пошуку пасивного DNS.

Реакції та ширший ризик

Claroc повідомила SpaceXSI в неділю, а пізніше позначила Ілона Маска та керівника Grok Метта Палмера в X. SpaceXSI почала видаляти посилання за кілька годин після запитів Ars Technica, і посилання всіх 24 застосунків повертали помилку «застосунок не знайдено» на момент публікації. Представник Cursor заявив, що застосунки Grok Build за замовчуванням приватні й нічого не стає публічним, якщо творець не обере поширення, але тести Claroc суперечили цьому твердженню. Claroc повідомила, що Lovable, Bolt і Replit також дають застосункам власні вебадреси, тож ті самі DNS-записи можуть розкрити їх, хоча Grok мав найчутливіші корпоративні дані. Вона також сказала, що Claude, ChatGPT і Gemini дотримуються безпечнішої практики, зберігаючи секретну випадковість у шляху URL. Співзасновник і технічний директор Claroc Асаф Апрозпер сказав, що повідомляє постраждалі компанії, а служба безпеки компанії розкішних круїзів уже працювала над стримуванням розкриття. Усім, хто використовує спільні посилання в Grok Build, варто обирати варіант «запросити інших», якщо вони не мають наміру зробити застосунок широко доступним.

Джерела: Ars Technica