OpenAI закрыла P1-уязвимость в общих ссылках ChatGPT
OpenAI исправила критическую P1-уязвимость в публичных ссылках ChatGPT, которую исследователи Parameter сообщили через bug bounty 18 октября. Вредоносная общая беседа могла выполнить код в авторизованной сессии посетителя, получить список его недавних диалогов и прочитать часть приватного чата. Исправление было выпущено через восемь дней, а вознаграждение за отчёт составило 5 000 долларов.
Обычная ссылка могла запустить код в сессии
Атака маскировалась под стандартную ссылку на общую беседу ChatGPT. Её можно было распространить по почте, в мессенджере, заявке в поддержку или публикации. Жертве не требовалось устанавливать программу, вступать в рабочее пространство или проходить аутентификацию через инфраструктуру атакующего.
В наиболее надёжном варианте пользователь открывал ссылку и один раз нажимал кнопку Preview. В последующей версии эксперимента Parameter настроила страницу так, чтобы предпросмотр открывался автоматически: для запуска цепочки было достаточно открыть ссылку.
После выполнения кода в сессии пользователя исследователи обращались напрямую к внутренним API ChatGPT, доступным авторизованному браузеру. В контролируемом тесте они получили перечень недавних разговоров, открыли приватный чат, который не был доступен атакующему, и отправили небольшой фрагмент на свой сервер. Parameter подчёркивает, что не обнаружила признаков использования уязвимости против реальных пользователей: демонстрация проводилась между отдельными тестовыми аккаунтами.
Как была обойдена изоляция Preview
ChatGPT умеет отображать HTML-блок из беседы как небольшую веб-страницу в функции Preview. Такой контент запускается в изолированном фрейме на отдельном адресе и не должен читать основную страницу ChatGPT. По оценке Parameter, сама песочница Preview работала корректно.
Путь к основной странице появился из-за другого элемента в той же беседе — интерактивного графика. При его отрисовке в основную страницу ChatGPT загружалась математическая библиотека MathLive. Она оставляла обработчик межфреймовых сообщений для экранной клавиатуры.
Этот обработчик не проверял, какой фрейм отправил сообщение, и принимал данные раскладки клавиатуры в виде необработанного HTML. Изолированный Preview передавал HTML доверенной основной странице, а тот создавал новый фрейм, который браузер считал частью chatgpt.com. Затем код загружался со стороны YouTube: политика безопасности контента запрещала встроенные скрипты, но разрешала скрипты с этого домена.
Что изменилось после отчёта
OpenAI воспроизвела выполнение кода и доступ к приватной переписке, повысила оценку проблемы с P2 до P1 и развернула исправление в двух версиях веб-интерфейса ChatGPT. К 26 октября обе версии отклоняли сообщения, на которых строилась атака. Parameter опубликовала техническое описание 28 октября, уже после устранения ошибки.
Исследователи связывают риск с сочетанием трёх решений: отсутствием проверки отправителя сообщений в MathLive, передачей необработанного HTML в параметрах раскладки и возможностью создать не изолированный фрейм с идентичностью chatgpt.com. Разрешённая загрузка скрипта с YouTube была финальным обходом ограничений, а не первопричиной.
Пользователям не нужно предпринимать действий: обновление установлено на стороне OpenAI. Для бизнеса этот случай показывает необходимость рассматривать ссылки на интерактивный контент как внешний ввод и проверять происхождение межфреймовых сообщений, особенно если они могут менять DOM или создавать новые фреймы.