Paylaşılan bir ChatGPT sohbet bağlantısı, açan kişinin oturumunda saldırganın kodunu çalıştırıp özel sohbetlerini okutabiliyordu, OpenAI açığı kapattı

Güvenlik şirketi Parameter, 28 Ekim’de yayımladığı araştırmada, ChatGPT’nin herkese açık sohbet paylaşma özelliğiyle hazırlanan bir bağlantının, onu açan kişinin oturum açmış ChatGPT oturumunda saldırganın JavaScript kodunu çalıştırabildiğini gösterdi. Parameter’a göre kod, kurbanın ChatGPT’deki kimliğiyle sitenin oturum gerektiren API’lerini doğrudan çağırabiliyordu. Şirket bu yolla kurbanın sohbet listesini görebildiğini, saldırganla hiç paylaşılmamış özel bir sohbetin içeriğini alıp kendi sunucusuna gönderebildiğini doğruladı ve bunu fiilen kurbanın ChatGPT hesabını ele geçirmek olarak tanımlıyor.

The Hacker News’e göre Parameter açığı 18 Ekim’de OpenAI’ın hata ödül programına bildirdi. OpenAI hem kod çalıştırmayı hem de özel sohbetin okunmasını yeniden üretti, önem derecesini P2’den P1’e yükseltti ve düzeltmeyi 26 Ekim’de ChatGPT’nin web arayüzünün iki sürümüne birden uyguladı.

Saldırının işleyişi

Parameter’a göre ChatGPT, bir sohbetteki HTML kodunu Preview özelliğiyle küçük bir web sayfasına dönüştürebiliyor. Bu sayfa her türlü kodu içerebildiği için ChatGPT onu ayrı bir adreste, ana ChatGPT sayfasına erişemeyen kısıtlanmış bir çerçevenin içinde çalıştırıyor. Parameter’a göre bu yalıtım beklendiği gibi çalışıyordu.

Aynı sohbette yer alan etkileşimli bir grafik ise ana ChatGPT sayfasına MathLive adlı bir matematik kütüphanesini yüklüyordu. MathLive, ana sayfada ekran klavyesiyle ilgili mesajları dinleyen bir alıcı bırakıyordu. Parameter’a göre bu alıcı mesajın hangi çerçeveden geldiğini kontrol etmiyordu ve klavye düzenini değiştiren mesajın HTML içermesine izin veriyordu. Böylece kısıtlanmış Preview sayfası, ana ChatGPT sayfasına HTML gönderebildi. Bu HTML, tarayıcının chatgpt.com’un parçası saydığı yeni bir çerçeve oluşturdu.

ChatGPT’nin içerik güvenlik politikası (CSP) satır içi kodu engelliyordu, ancak YouTube’dan gelen betiklere izin veriyordu. Parameter’a göre YouTube’un bir uç noktası, geçersiz bir geri çağırma adını hata mesajını döndürmeden önce yanıtın içine yerleştiriyordu. Araştırmacılar bu yanıtı betik olarak yükleyerek kendi kodlarını chatgpt.com olarak çalıştırdı. Parameter’a göre saldırı için bağlantıyı herkese açık bir sohbet olarak paylaşmak ve kurbana e-posta, sohbet mesajı, destek talebi ya da sosyal medya paylaşımı yoluyla göndermek yeterliydi. Kurbanın bir şey kurması, bir çalışma alanına katılması ya da saldırgan üzerinden giriş yapması gerekmiyordu.

The Hacker News’e göre Parameter gerçek ortamda açığın kullanıldığını bildirmiyor ve özel sohbetin okunduğu denemeyi gerçek kullanıcılar yerine kendi ayrı hesapları arasında yaptı.