Parameter Labs розкрила захоплення облікового запису ChatGPT через втечу з пісочниці

Parameter Labs описала експлойт проти реалізації ChatGPT шаблону артефактів, який OpenAI раніше називала «Canvas», а тепер називає попереднім переглядом HTML, де інтерактивні користувацькі HTML-застосунки виконуються у фреймі у пісочниці. Ланцюг міг дозволити зловмиснику створити спільне посилання ChatGPT, яке після відкриття іншим авторизованим користувачем викрадало приватні дані або виконувало дії від його імені. OpenAI закрила вразливість і виплатила винагороду $5,000 за виявлення помилки.

Як працював ланцюг атаки

ChatGPT використовує бібліотеку JavaScript MathLive для підтримки графіків, і ця бібліотека містить віртуальну клавіатуру. Клавіатуру можна активувати на батьківській сторінці через postMessage() із фрейму у пісочниці. Код, що отримує ці повідомлення, використовує innerHTML, і не було механізму, щоб зупинити інші фрейми у пісочниці, зокрема фрейми попереднього перегляду HTML, від виклику цього методу.

Це дозволяло ненадійному коду фрейму вставляти довільний HTML у батьківську сторінку. Хоча innerHTML безпосередньо не виконує елементи script, його можна було використати для вставки нового фрейму без обмежень пісочниці. Політика безпеки вмісту OpenAI блокувала вбудовані скрипти і дозволяла завантаження скриптів лише з кількох доменів, але YouTube був серед них. Ендпоінт YouTube oEmbed міг віддзеркалювати JavaScript так, що він виконувався.

Наслідки та виправлення

Після того як зловмисник отримував виконання JavaScript у ChatGPT, було нескладно отримати приватні дані користувача з API і викрасти їх через посилання на зображення. Результатом було спільне посилання, яке могло скомпрометувати іншого авторизованого відвідувача. OpenAI виправила вразливість і виплатила винагороду $5,000. Simon Willison, який посилався на звіт, сказав, що вважає цю суму трохи заниженою для такої серйозної вразливості.

Джерела: Simon Willison