KI SpotlightNewsChatGPT-Share-Link: Parameter legt die technische Kette hinter der Lücke offen
MathLive-postMessage, innerHTML, ungesandboxter iframe und YouTube-oEmbed als CSP-Umgehung: Das Writeup liefert Details zum bereits gemeldeten Fund. Gemeldet am 18. Oktober, behoben am 26. Oktober.
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Ein öffentlicher ChatGPT-Share führte beim Öffnen zu attackergesteuertem JavaScript in chatgpt.com.
- Die Kette nutzte eine ungeprüfte postMessage in MathLive und umging die CSP über YouTube.
- Das Skript las einen privaten Chat des Opfers und sendete einen Teil an einen externen Server.
- Das Opfer musste nur den Link öffnen, gegebenenfalls mit einem Klick auf Preview.
- Parameter meldete den Fund am 18. Oktober; OpenAI behob ihn am 26. Oktober als P1.
Ein geöffneter Share-Link führt Angreifer-Code in der ChatGPT-Sitzung aus
Laut dem Writeup des Sicherheitsunternehmens Parameter (Parameter Labs) führt ein öffentlich geteilter ChatGPT-Chat beim Öffnen durch das Opfer attackergesteuertes JavaScript im Kontext von chatgpt.com aus, und zwar in dessen eingeloggter Sitzung. Die Forscher belegen drei Vorgänge. Der Code listete die Konversationen des Opfers auf. Er las einen privaten Chat, der nie mit dem Angreifer geteilt worden war. Außerdem schickte er einen Teil davon an einen externen Server. Dazu rief er die authentifizierten APIs von ChatGPT direkt im Namen des Opfers auf.
Das Opfer musste nichts installieren, keinem Workspace beitreten und keinen Code einfügen. In der zuverlässigsten Variante öffnet es den Link und klickt einmal auf Preview. In einer späteren Variante öffnet sich Preview automatisch. Dann genügt das Öffnen des Links.
Nach allem Anschein handelt es sich um denselben Fund wie in unserem früheren Artikel über den präparierten Share-Link, der fremdes JavaScript im Kontext von chatgpt.com ausführte. Die neue Meldung liefert vor allem technische Details und den Ablauf der Meldung. Eine neue, unabhängige Lücke ist es nicht.
Von MathLive-postMessage zur YouTube-oEmbed-Umgehung der CSP
Den Ausgangspunkt bildet die Graphenfunktion. Dafür lädt ChatGPT die Bibliothek MathLive auf der Hauptseite. Deren Listener für Tastatur-Nachrichten akzeptiert postMessage von beliebigen Absendern; eine Prüfung der Origin fehlt. Die Nachricht darf rohes HTML tragen, das die Seite per innerHTML einfügt. So lässt sich ein iframe ohne Sandbox-Beschränkung erzeugen, den der Browser als Teil von chatgpt.com behandelt.
Damit war die Content Security Policy noch nicht überwunden. Sie blockierte Inline-Skripte und erlaubte Skripte nur von wenigen Domains. Eine davon war YouTube. Der oEmbed-Endpunkt ließ sich nutzen, um JavaScript zurückzuspiegeln und auszuführen. Damit schloss sich die Kette.
Zur Bibliothek: MathLive 0.100.0 hatte vier ungeschützte postMessage-Listener. In der gepatchten Version 0.111.1 sind alle markierten Sinks beseitigt.
Acht Tage von der Meldung bis zum Fix, P1 und 5.000 Dollar Bounty
Parameter meldete den Fund am 18. Oktober über OpenAIs Bug-Bounty-Programm. OpenAI behob ihn am 26. Oktober, acht Tage später, und stufte ihn als P1 ein. Die Bounty betrug 5.000 US-Dollar. Das berichten Aviatrix und AI Weekly, Letzteres unter Berufung auf The Hacker News.
Offen bleibt die Art des Fixes. Eine Quelle spricht von einem serverseitigen Fix, eine andere davon, OpenAI habe „both affected frontend versions“ gepatcht. Möglicherweise ist dieselbe Korrektur gemeint; belegen lässt sich das nicht. Eine Aussage von OpenAI liegt nicht vor.
Bei der Wirkung ist zwischen Beleg und Rhetorik zu unterscheiden. Parameter schreibt, man könne „anyone's account simply by sending them a link“ übernehmen und „essentially any action on behalf of the victim“ ausführen. Aviatrix nennt die Lücke „critical“. Belegt sind jedoch nur das Lesen von Konversationen und der Aufruf authentifizierter APIs. Zugriff auf Session-Token, Zahlungsdaten oder eine dauerhafte Kontoübernahme sind im Material nicht belegt.
