Un ricercatore ha ricevuto 6500 dollari per aver violato l'infrastruttura di OpenAI

Un ricercatore di sicurezza indipendente con lo pseudonimo di Hacktron ha scoperto una vulnerabilità critica nell'infrastruttura della società OpenAI, che ha consentito l'esecuzione remota di codice (RCE). Per la scoperta del vettore di attacco, la società ha pagato un premio di $6500 nell'ambito del programma Bug Bounty.

Durante la ricerca è stata individuata una vulnerabilità di tipo overflow della pila (heap overflow) nella libreria libheif, utilizzata nel forum Discourse della società. L'exploit di questo errore ha permesso a un malintenzionato di uscire dall'ambiente isolato e di accedere alle risorse interne. Nel processo di sviluppo dell'attacco, il ricercatore ha scoperto un sistema di accesso singolo (SSO) non configurato correttamente.

La combinazione di queste vulnerabilità ha aperto l'accesso agli account utente ChatGPT e Codex, nonché ai repository di codice sorgente interni. Il ricercatore ha descritto in dettaglio la catena di eventi che ha portato al compromesso nel suo rapporto tecnico. La discussione dei dettagli dell'incidente e della metodologia di ricerca è disponibile sulla piattaforma Hacker News.

Questo incidente sottolinea i rischi associati all'uso di librerie di terze parti per l'elaborazione delle immagini nei servizi web pubblici. OpenAI ha prontamente risolto le vulnerabilità dopo aver ricevuto il rapporto, prevenendo ulteriori exploit del sistema da parte dei malintenzionati.