Исследователи утверждают, что по публичной ссылке на чат ChatGPT можно было выполнить код в сеансе жертвы; OpenAI устранила уязвимость 26 октября

Компания по кибербезопасности Parameter 28 октября опубликовала разбор, в котором сообщила, что её исследователи нашли способ запускать JavaScript, контролируемый злоумышленником, в авторизованном сеансе ChatGPT любого пользователя, открывшего публичную ссылку на чат. Согласно разбору, OpenAI устранила проблему 26 октября и присвоила сообщению приоритет P1.

Описание цепочки атаки от Parameter:

• Вредоносный чат объединяет обычный интерактивный график, который загружает математическую библиотеку MathLive и устанавливает обработчик сообщений на главной странице chatgpt.com, с HTML Preview, который отправляет ему сообщения. Обработчик не проверял, кто отправляет сообщение об изменении раскладки виртуальной клавиатуры, а в раскладке можно было разместить необработанный HTML.
• Этот HTML создавал фрейм без песочницы, которому передавалась идентичность chatgpt.com. Политика безопасности содержимого ChatGPT блокировала встроенные скрипты, но разрешала YouTube; скрипт предоставлял эндпоинт YouTube oEmbed, который возвращал переданный параметр callback.
• По словам исследователей, код мог перечислить чаты жертвы, прочитать приватный чат, который никогда не был опубликован, и отправить его часть на внешний сервер. Они утверждают, что такой же доступ позволил бы выполнять любые действия, доступные аккаунту жертвы. Достаточно было открыть ссылку на чат и, самое большее, один раз нажать Preview.

Хронология Parameter: компания отправила отчёт 18 октября, 21 октября OpenAI повысила уровень серьёзности с P2 до P1, исправление поэтапно внедрили в два веб-интерфейса, а 26 октября OpenAI подтвердила, что оба отклоняют описанные сообщения, и выплатила вознаграждение в размере $5,000. Описание основано на собственном опыте исследователей; в разборе не говорится об использовании уязвимости против реальных пользователей.