Исследователи из компании Parameter обнаружили уязвимость в ChatGPT, позволяющую злоумышленнику выполнить свой код в сессии пользователя, открывшего вредоносную ссылку на переписку. Это могло дать атакующему доступ к приватным диалогам жертвы.
Исследователи сообщили об уязвимости через программу Bug Bounty OpenAI 18 октября. Спустя восемь дней OpenAI устранила проблему, присвоив ей наивысший уровень опасности P1.
Уязвимость заключалась в обычной ссылке на переписку в ChatGPT. Такой ссылкой можно поделиться любым способом: по электронной почте, в мессенджере, в тикете поддержки или в социальной сети. Жертве не требовалось ничего устанавливать, регистрироваться или входить в аккаунт злоумышленника. В наиболее надежной версии атаки достаточно было открыть ссылку и один раз нажать кнопку «Предпросмотр» (Preview). В более поздней версии страница предпросмотра открывалась автоматически при переходе по ссылке.
После открытия ссылки код злоумышленника выполнялся в сессии жертвы с теми же правами, что и настоящий сайт ChatGPT. Он мог просмотреть недавние переписки пользователя, открыть приватный чат, который никогда не был опубликован, и отправить его часть на сервер исследователей.
Код напрямую обращался к API ChatGPT, а не копировал содержимое экрана. Поскольку он выполнялся с полными правами доступа пользователя, его возможности не ограничивались только переписками. «По сути, мы могли выполнять любые действия от имени учетной записи ChatGPT жертвы», — написали исследователи.
Исследование проводилось в контролируемых условиях. Parameter не сообщает о реальном использовании уязвимости, а демонстрация работы с приватными чатами проводилась между отдельными аккаунтами, а не против реальных пользователей.
Согласно Parameter, ChatGPT может преобразовывать блок HTML в чате в мини-веб-страницу с помощью функции «Предпросмотр». Поскольку эта страница может содержать любой код, ChatGPT запускает ее в изолированном фрейме по отдельному адресу, где она не может читать основную страницу ChatGPT.
Однако эта изоляция была нарушена. Уязвимость использовала вторую функцию в той же переписке. Общий чат содержал интерактивный график, отрисовка которого загружала в основную страницу ChatGPT библиотеку MathLive. Загрузка MathLive оставляла активным слушатель сообщений для экранной клавиатуры.
Сообщение между фреймами браузера безопасно только в том случае, если получатель проверяет отправителя. Parameter обнаружила, что этот слушатель принимал сообщения от любого отправителя, и эти сообщения могли содержать необработанный HTML. Функция «Предпросмотр» могла передать вредоносный HTML на основную страницу.
Этот HTML создавал новый фрейм, который браузер воспринимал как часть chatgpt.com. Затем скрипт, загруженный с YouTube, выполнял вредоносный код внутри этого фрейма. Политика безопасности контента ChatGPT ограничивает источники скриптов, блокируя встроенный код, но разрешая скрипты с YouTube, что и позволило реализовать атаку.
Parameter сообщила, что OpenAI воспроизвела выполнение кода и демонстрацию работы с приватными чатами, повысила уровень опасности с P2 до P1 и выпустила исправление для двух версий веб-интерфейса ChatGPT. К 26 октября обе версии блокировали сообщения, на которых основывалась атака.
Исследователи выделили три причины возникновения проблемы:
1. Функция «Предпросмотр» позволяла вставлять HTML в основной контент.
2. Слушатель сообщений для экранной клавиатуры принимал сообщения от любого отправителя.
3. Разрешение загружать скрипты с YouTube.
Использование YouTube было лишь финальным обходным путем, а не первопричиной. Блокировка только этого шага не устранила бы уязвимость, так как недоверенный предпросмотр все равно мог бы вставлять HTML на основной сайт.
Пользователям ChatGPT не нужно предпринимать никаких действий. Исправление находится на стороне OpenAI, и никаких установок или сбросов не требуется.
Parameter опубликовала отчет об уязвимости 28 октября, после выпуска исправления. OpenAI выплатила исследователям в общей сложности 5000 долларов за отчет.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
