Forscher sagen, ein öffentlicher ChatGPT-Freigabelink konnte Code in der Sitzung eines Opfers ausführen; OpenAI behob das Problem am 26. Oktober

Die Sicherheitsfirma Parameter veröffentlichte am 28. Oktober einen Bericht, in dem es heißt, ihre Forscher hätten einen Weg gefunden, von Angreifern kontrolliertes JavaScript in der angemeldeten ChatGPT-Sitzung aller Personen auszuführen, die eine öffentliche Gesprächsfreigabe öffneten. OpenAI behob das Problem am 26. Oktober und stufte den Bericht laut dem Beitrag als P1 ein.

Parameters Darstellung der Angriffskette:

• Ein bösartiges Gespräch kombiniert ein normales interaktives Diagramm, das die MathLive-Mathematikbibliothek lädt und einen Message-Listener auf der Hauptseite chatgpt.com installiert, mit einer HTML-Vorschau, die ihm Nachrichten sendet. Der Listener prüfte nicht, wer eine Nachricht zum Ändern des Layouts der virtuellen Tastatur gesendet hatte, und das Layout konnte rohes HTML enthalten.
• Dieses HTML erstellte einen nicht sandboxgeschützten Frame mit der Identität von chatgpt.com. Die Content Security Policy von ChatGPT blockierte Inline-Skripte, erlaubte aber YouTube; ein YouTube-oEmbed-Endpunkt, der einen Callback-Parameter zurückspiegelte, stellte das Skript bereit.
• Die Forscher sagen, der Code hätte die Gespräche des Opfers auflisten, ein privates, nie geteiltes Gespräch lesen und Teile davon an einen externen Server senden können. Derselbe Zugriff hätte ihnen zufolge jede Aktion ermöglicht, die das Konto des Opfers ausführen kann. Es reichte, den Freigabelink zu öffnen und höchstens einmal auf „Preview“ zu klicken.

Parameters Zeitablauf: Das Unternehmen reichte den Bericht am 18. Oktober ein, OpenAI stufte den Schweregrad am 21. Oktober von P2 auf P1 hoch, ein Fix wurde schrittweise auf den beiden Web-Frontends eingespielt, und am 26. Oktober bestätigte OpenAI, dass beide die gemeldeten Nachrichten zurückwiesen, und zahlte eine Prämie von 5.000 $. Der Bericht stammt von den Forschern selbst; er beschreibt keinen Einsatz der Schwachstelle gegen echte Nutzer.