KI SpotlightNewsChatGPT: Präparierter Share-Link führte fremden JavaScript-Code im Kontext von chatgpt.com aus
Das Sicherheitsunternehmen Parameter zeigte, wie ein öffentlich geteilter Chat private Konversationen abgreifen konnte. OpenAI schloss die Lücke nach acht Tagen. Was belegt ist, und was nur die Forscher behaupten.
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Forscher verwandelten einen öffentlich geteilten ChatGPT-Chat in Angreifer-kontrolliertes JavaScript auf chatgpt.com.
- Ein Link genügte; das Opfer musste nichts installieren oder Code einfügen.
- Der Proof of Concept rief einen nie geteilten privaten Chat ab und sendete einen Teil an die Forscher.
- Die Meldung ging am 18. Oktober an das OpenAI-Bug-Bounty-Programm; die Behebung folgte am 26. Oktober.
- Der Fehler wurde als P1, die höchste Kategorie, eingestuft.
Ein präparierter Share-Link macht aus ChatGPT-Chats Angreifer-Code
Ein öffentlich geteilter, manipulierter ChatGPT-Chat konnte im Browser eines angemeldeten Opfers Angreifer-JavaScript ausführen, und zwar unter der Herkunft chatgpt.com. Das zeigte das Sicherheitsunternehmen Parameter. The Hacker News gibt den Bericht der Forscher wieder.
Die Kette begann mit zwei Funktionen, die für sich harmlos wirken: einem Graphen und einer HTML-Preview. Ein Angreifer baute eine manipulierte Konversation und veröffentlichte sie über die normale Share-Funktion. Danach reichte ein Link, verschickt per E-Mail, Chat, Support-Ticket oder Social Post. Das Opfer musste nichts installieren, keinem Projekt beitreten, keinen Code einfügen und keine Entwicklertools öffnen. Weil der Code im angemeldeten Browser unter der Herkunft chatgpt.com lief, besaß er denselben Zugriff wie die echte Webseite.
Proof of Concept listet Chats auf und schickt Inhalte an einen Server der Forscher
Im Proof of Concept listete der Code die Konversationen des Opfers auf. Er rief den Inhalt eines nie geteilten privaten Chats ab und sendete einen Teil davon an einen Server der Forscher. Dafür sprach er die authentifizierten ChatGPT-APIs direkt an, statt nur Bildschirminhalte abzukopieren.
Die Bezeichnung „Account-Übernahme“ stammt von Parameter, nicht von OpenAI. Die Forscher schreiben, man habe „essentially“ jede Aktion im Namen des Opfers ausführen können. Demonstriert wurden jedoch nur die Chatliste, das Lesen eines privaten Chats und der Datenabfluss. Diebstahl von Sitzungstoken sowie Zugriff auf Memory, Connectors oder Dateien wurden nicht gezeigt.
Nach der Hilfeseite von OpenAI gewährt ein Share-Link normalerweise keinen Zugriff auf das Konto des Erstellers. Der geteilte Inhalt ist aber für jeden berechtigten Empfänger sichtbar.
Gemeldet am 18., behoben am 26. Oktober: offen bleibt die Klickfrage
Parameter meldete die Lücke am 18. Oktober über das Bug-Bounty-Programm von OpenAI. Acht Tage später, am 26. Oktober, war sie behoben. Laut den Forschern und The Hacker News gilt die Lücke als P1, die höchste Kategorie. Eine eigene Aussage von OpenAI dazu liegt nicht vor.
Unklar ist, wie viel das Opfer tun musste. Parameter nennt das Öffnen des Links als einzige nötige Aktion. The Hacker News beschreibt dagegen, dass in der zuverlässigsten Version zusätzlich ein Klick auf den Preview-Button nötig war. Erst eine spätere Version öffnete die Preview automatisch. Möglicherweise beschreiben die Quellen verschiedene Entwicklungsstufen des Angriffs. Das ist eine Vermutung. Geklärt ist es nicht.
Hinweise auf Ausnutzung durch Dritte oder auf tatsächlich abgeflossene Opferdaten enthalten die Quellen nicht. Die Lücke ist serverseitig geschlossen. Einen Handlungsbedarf für Nutzer, etwa einen Passwortwechsel, belegen die Quellen nicht. Potenziell betroffen waren angemeldete Nutzer der Weboberfläche. Zu Tarifen, Apps oder Atlas äußern sich die Quellen nicht.
