KI SpotlightNewsChatGPT-Share-Link: Parameter legt Ursachenkette der Lücke offen
Acht Tage zwischen Meldung und Fix: Das Sicherheitsunternehmen beschreibt, wie MathLive, ungeprüfte postMessages und eine CSP-Lücke zusammenwirkten
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Ein Angreifer veröffentlichte eine Konversation mit HTML-Preview über die normale Teilen-Funktion.
- Beim Öffnen lief der Code als chatgpt.com mit der authentifizierten Sitzung des Opfers.
- Der Code las in der Demonstration einen privaten Chat und sendete Teile an einen Server.
- Die Bibliothek MathLive akzeptierte postMessages ohne Absenderprüfung; das iframe erbte den Origin chatgpt.com.
- Meldung am 18. Oktober 2026, Fix am 26. Oktober, Belohnung 5.000 US-Dollar.
Acht Tage zwischen Meldung und Fix: Parameter veröffentlicht technische Details zur Share-Link-Lücke
Das Sicherheitsunternehmen Parameter hat die Lücke in den Share-Links von ChatGPT technisch aufgeschlüsselt. Laut dem Write-up, dessen Autor mit Mukul Goyal angegeben ist, konnte ein öffentlicher Share-Link mit interaktivem Graph und HTML-Vorschau beliebigen JavaScript-Code ausführen. Dieser Code lief als chatgpt.com in der angemeldeten Sitzung des Aufrufers.
Der Zeitverlauf sieht so aus: Parameter meldete die Lücke am 18. Oktober 2026 über das Bug-Bounty-Programm von OpenAI. Der Fix folgte am 26. Oktober, acht Tage später. Den technischen Bericht veröffentlichte Parameter am 28. Oktober. Der Report wurde laut Parameter als P1 eingestuft, die Belohnung betrug insgesamt 5.000 US-Dollar.
Damit schreiben wir unseren früheren Bericht fort. Neu sind das Patch-Datum, der Zeitverlauf, die P1-Einstufung, das Preisgeld und die Ursachenkette. Alle diese Angaben stammen von Parameter und aus den Berichten, die darauf aufbauen. Eine eigene Stellungnahme oder ein Advisory von OpenAI liegt uns nicht vor.
Mehrere Schwächen greifen ineinander: MathLive, ungeprüfte postMessages und eine CSP-Lücke
Nach Angaben von Parameter griffen mehrere Schwächen ineinander. Die Bibliothek MathLive akzeptierte postMessages von anderen Frames, ohne den Absender zu prüfen. Diese Nachrichten durften rohes HTML als Tastaturlayout-Daten enthalten. Das HTML landete in einem nicht isolierten iframe. Weil es nicht abgeschottet war, übernahm es den Origin chatgpt.com und besaß damit dieselben Zugriffsrechte wie die Seite selbst. Eine Lücke in der Content Security Policy, die ein bei YouTube gehostetes Skript zuließ, vervollständigte die Kette.
Vom Opfer verlangte der Angriff wenig. In der zuverlässigsten Variante öffnete es den Link und klickte einmal auf Preview. In einer späteren Variante öffnete sich Preview automatisch; das Öffnen des Links genügte. Eine Installation, ein Workspace-Beitritt oder das Einfügen von Code waren nicht nötig.
Der Fix kam serverseitig. Laut den Berichten betraf er zwei Versionen des Web-Frontends. Für MathLive nennt aiweekly die Version 0.100.0 als verwundbar und 0.111.1 als gepatcht.
Gezeigt wurde das Lesen eines privaten Chats, nicht die behauptete Kontoübernahme
Parameter schreibt: "Essentially, we could perform any action on behalf of the victim's ChatGPT account." Der Code rief die authentifizierten ChatGPT-APIs im Namen des Opfers auf. Daraus leiten die Forscher einen umfassenden Zugriff ab.
Im kontrollierten Test wurde weniger vorgeführt. Der Code listete die Konversationen auf, laut madrobot die 20 jüngsten. Er las einen privaten, nie geteilten Chat und schickte einen Teil davon an einen Server der Forscher. Schreiben, Löschen oder den Zugriff auf Connectors nennen die Forscher als mögliche Folgen. Gezeigt wurden sie nicht. Die Angaben dazu stammen aus derselben Forschung, und hier verläuft die Grenze zwischen technischer Ableitung und Proof of Concept. Für die weitergehenden Aktionen gibt es nur die Behauptung der Forscher.
Nach den vorliegenden Berichten ist keine Ausnutzung in freier Wildbahn bekannt. Ob Nutzer selbst etwas tun müssen, ist offiziell nicht geklärt. Ein Blog hält Handeln für unnötig, weil der Fix serverseitig erfolgte.
