Hacktron связала две уязвимости и получила доступ к аккаунтам OpenAI за 72 часа

Исследователи из Hacktron — Харш Джайсвал, Мохан Педхапати и Рахул Майни — 13 сентября опубликовали отчёт о том, как связали две уязвимости и получили доступ к аккаунтам сотрудников OpenAI в ChatGPT и Codex, а через подключённые сервисы — и к внутренним репозиториям компании. Всё заняло меньше 72 часов: от первой находки до входа в чужие аккаунты.

Первое звено — ошибка в библиотеке libheif. Форум сообщества OpenAI работает на Discourse, и загруженные картинки в формате HEIC/HEIF уходили на конвертацию в ImageMagick, а тот открывал файл напрямую парсером libheif. В образе Discourse на базе Debian 12 часть правок безопасности не была перенесена, поэтому специально собранное изображение давало выполнение своего кода на сервере.

Вторым звеном стала ошибка в едином входе OpenAI. Именно она превращала взлом форума в захват аккаунтов ChatGPT и Codex. Авторы подчёркивают: слабое место не в Discourse, а в привязке сторонних сервисов к OpenAI SSO — под угрозой было любое приложение с таким входом, а подключений много: репозитории, мессенджеры, почта.

Чтобы доказать доступ, не читая ни строчки внутреннего кода, исследователи от имени сотрудника открыли пул-реквест во внутреннем монорепозитории компании. После этого тестирование остановили и отправили отчёт в программу Bugcrowd. OpenAI подтвердила исправление примерно через 14 часов и выплатила исследователям 6 500 долларов.

Заметную часть работы сделали модели Anthropic. Opus 4.8 нашёл непропатченную дыру и собрал рабочий эксплойт, но с включённой защитой памяти не справлялся. Вечером вышел Opus 5 — и уже через несколько часов появился рабочий вариант для нужной архитектуры. Правда, чтобы применить его к реальной цели, агента пришлось вести через похожий на CTF стенд: писать эксплойт для удалённой системы он отказывался.

Дисклозур прошёл быстро: Discourse получила отчёт в субботу через HackerOne, ответила в воскресенье, к понедельнику подготовила исправление и дополнительно изолировала обработку картинок в песочнице, а 28 июля выпустила публичное предупреждение. На всю историю ушло несколько часов человеческого времени.

Вывод для тех, кто держит инфраструктуру сам: если вы разворачиваете Discourse, установку нужно пересобрать, а не просто обновить через веб-интерфейс — старые образы несут уязвимую версию libheif. Приложениям, принимающим пользовательские HEIC/HEIF-картинки, стоит обновить libheif и libde265, а разбор изображений лучше держать в изолированной среде.

Изображение: Michael Townsen Hicks, James Humphries, Joe Slater CC BY 4.0 · Лицензия

Редакторы перевода: Соловьев В., Пеков А.