Een kwaadaardige gedeelde ChatGPT-link kon code van een aanvaller laten draaien in de ingelogde sessie van iedereen die de link opende, waarmee die persoon bij de privégesprekken van het slachtoffer kon. Onderzoekers van het beveiligingsbedrijf Parameter demonstreerden het lek en meldden het op 18 oktober via OpenAI’s bug bounty-programma op Bugcrowd. OpenAI loste het probleem acht dagen later op, op 26 oktober, en verhoogde de ernst van de melding van P2 naar P1, de hoogste categorie. Parameter ontving een beloning van 5.000 dollar en publiceerde de technische write-up op 28 oktober, nadat de fix al live stond. Een CVE-nummer is niet toegekend.
De aanval begon bij een doodnormaal gedeeld ChatGPT-gesprek, verstuurbaar via e-mail, chatbericht, supportticket of social media. Het slachtoffer hoefde niets te installeren, zich niet aan te melden bij een werkruimte en zich niet via de aanvaller in te loggen. In de meest betrouwbare variant van de aanval volstond het openen van de link en één keer klikken op ChatGPT’s Preview-knop; in een latere versie opende Preview zichzelf automatisch, waardoor het openen van de link al genoeg was.
De code van de aanvaller draaide vervolgens met dezelfde rechten als de echte ChatGPT-site. Hij kon de recente gesprekken van het slachtoffer opvragen, een privégesprek openen dat nooit met de aanvaller was gedeeld, en een deel daarvan doorsturen naar een server die de onderzoekers zelf beheerden. Omdat de code rechtstreeks ChatGPT’s eigen, ingelogde API’s aanriep, konden de onderzoekers naar eigen zeggen “elke actie namens het account van het slachtoffer uitvoeren”. De test bleef gecontroleerd: Parameter meldt geen misbruik in het echt te hebben gezien en voerde de proef met privégesprekken uit tussen twee eigen testaccounts.
Technisch gezien draaide de aanval om een keten van kleine fouten. ChatGPT’s Preview-functie rendert HTML uit een gesprek in een afgeschermd frame op een los webadres, en die afscherming hield zelf gewoon stand. Het probleem zat in een bijkomstigheid: het gedeelde gesprek bevatte een interactieve grafiek, en het tekenen daarvan laadde de wiskundebibliotheek MathLive in de hoofdpagina van ChatGPT zelf. MathLive luisterde daar naar berichten over het instellen van zijn schermtoetsenbord, zonder te checken wie die berichten stuurde, en die berichten konden ruwe HTML bevatten. Het Preview-frame gebruikte dat kanaal om aanvaller-HTML door te geven aan de vertrouwde hoofdpagina. Die HTML maakte daar een nieuw frame aan dat de browser als onderdeel van chatgpt.com beschouwde, en een script dat werd geladen vanaf YouTube leverde uiteindelijk de code die in dat frame draaide: ChatGPT’s content security policy blokkeert inline code, maar staat scripts van YouTube toe.
OpenAI kon beide onderdelen van de aanval, zowel de code-executie als het uitlezen van een privégesprek, zelf reproduceren. De fix werd doorgevoerd in twee versies van ChatGPT’s webfrontend en blokkeert sinds 26 oktober de berichten waarop de aanval steunde. Gebruikers hoeven zelf niets te doen; er is niets te installeren en geen wachtwoord te resetten.
Het incident laat zien hoe een klein, op zichzelf onschuldig onderdeel als een grafiekbibliotheek de beveiliging van een volledig afgeschermd previewsysteem kan omzeilen. Voor Nederlandse gebruikers van ChatGPT is er na de patch niets om zelf te doen, maar het is een goede herinnering om gedeelde links niet blind te vertrouwen en gevoelige gesprekken niet via een publieke share-link te verspreiden.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.