ჰაკერებმა Claude-ის ხელსაწყოებით OpenAI-ის შიდა კოდზე წვდომა მოიპოვეს
მკვლევრებმა გარღვევა უვნებელი მოთხოვნით დაამტკიცეს და 6 500 დოლარი მიიღეს
Toms Hardwareორიგინალი Toms Hardware-ზე
ორიგინალი და წყარო
ორიგინალი გამოქვეყნდა
ქართული თარგმანიინგლისური ენიდან ქართულად
წყარო: Toms Hardware. ქართული თარგმანი: შიკრიკი.
ორიგინალის სათაური
Hackers breach OpenAI using Claude tools, gaining access to employee accounts and the company's internal codebase — attackers initiated a 'harmless' pull request as proof of the hack
ამ ამბავს ასევე აშუქებენ:The Register
ტექნოლოგია3 წუთის საკითხავი
ტექსტი ავტომატურად ითარგმნა. წყარო: Toms Hardware.
კიბერუსაფრთხოების სტარტაპ Hacktron AI-ის თეთრმა ჰაკერებმა Claude-ის ხელსაწყოებით OpenAI წარმატებით გატეხეს. გუნდმა 18 სექტემბერს X-ზე დაწერა, რომ OpenAI-ის შიდა კოდების საცავში 25 ივლისს შეაღწია. მან OpenAI-ის ზოგიერთი თანამშრომლის ChatGPT-ისა და Codex-ის ანგარიშებზე წვდომაც მოიპოვა. მკვლევრებმა გარღვევა OpenAI-ის კერძო საცავში კოდის ცვლილების მოთხოვნის გაგზავნით დაამტკიცეს. შემდეგ მათ დაუცველობების შესახებ OpenAI-ს შეატყობინეს. გავრცელებული ინფორმაციით, კომპანიამ შეტყობინების მიღებიდან 14 საათში პრობლემა გამოასწორა და მკვლევრებს 6 500 დოლარი გადაუხადა.
Hacktron-ის მკვლევრები OpenAI-ის შეცდომების აღმოჩენის ჯილდოს პროგრამის ფარგლებში მოქმედებდნენ. მათ კრიტიკული დაუცველობები აღმოაჩინეს, რომლებმაც თანამშრომლების შიდა ხელსაწყოებზე წვდომა მისცეს. ამ ხარვეზებით კერძო პროგრამული საცავების ხელში ჩაგდებაც შეიძლებოდა. მკვლევრებმა ერთიანი ავტორიზაციის სისტემის, SSO-ს, არასწორი კონფიგურაცია გამოიყენეს. მათ ასევე ისარგებლეს კოდის დისტანციურად შესრულების, RCE-ს, ხარვეზით Discourse-ში, მესამე მხარის პლატფორმაში, რომელიც OpenAI-ის სათემო ფორუმს ემსახურება. შეტევის ჯაჭვი ასეთი იყო: HEIF-ის ატვირთვა, libheif-ში დინამიკური მეხსიერების გადავსება, RCE, OpenAI-ის SSO-ს ხარვეზი, ChatGPT-ისა და Codex-ის ხელში ჩაგდება, დაკავშირებულ GitHub-ზე გადასვლა და შიდა კოდის ცვლილების მოთხოვნა.
მკვლევრებმა თავდაპირველად ფორუმზე პროფილის სურათად მავნე HEIF, მაღალი ეფექტიანობის გამოსახულების ფაილი, ატვირთეს. Discourse-ის სერვერულმა პროგრამამ სურათის დამუშავება მოძველებული libheif პაკეტით სცადა. ამან დინამიკური მეხსიერების გადავსების დაუცველობა გაააქტიურა, ბიბლიოთეკა გათიშა და სისტემური მეხსიერების არასწორი მართვა გამოიწვია. მკვლევრებმა მეხსიერების გათიშვა ისე დაგეგმეს, რომ კოდი დისტანციურად შეესრულებინათ. ფორუმის ადგილობრივ სერვერულ გარემოზე წვდომის შემდეგ მათ გარემოს კონფიგურაციები და სესიების მართვის მონაცემები მოიპოვეს. მკვლევრებმა SSO-ს ხარვეზი აღმოაჩინეს: ფორუმის ავტორიზაციის სისტემა მომხმარებლის სესიებს სათანადოდ ვერ ამოწმებდა და OpenAI-ის სხვა სერვისებისგან ვერ აცალკევებდა.
ჰაკერებმა ფორუმის ადგილობრივი სერვერის მონაცემთა ბაზიდან მოპარული სესიის ტოკენები გამოიყენეს. SSO-ს ხარვეზით მათ OpenAI-ის რეალური თანამშრომლის სახელით მოქმედება შეძლეს. ამ გზით ჩვეულ ავტორიზაციას გვერდი აუარეს და OpenAI-ის დეველოპერების გუნდებთან დაკავშირებულ, ფართო უფლებების მქონე შიდა ანგარიშში შეაღწიეს. ბევრი ტექნოლოგიური კომპანიის მსგავსად, OpenAI-იც კორპორაციულ პროგრამებში ერთიან ავტორიზაციას იყენებს. ამიტომ მოპარული ანგარიში პირდაპირ უკავშირდებოდა კომპანიის სისტემებს, მათ შორის GitHub-ს, Slack-სა და ელფოსტას. მკვლევრებმა OpenAI-ის უზარმაზარ კერძო კოდების საცავზე წვდომა მოიპოვეს და გარღვევის საბოლოო დასტურად შიდა კოდის ცვლილების მოთხოვნა წამოიწყეს.
სხვა ამბები
Toms Hardware
ამავე გამოცემის სხვა ამბები.
Nvidia Brev-ის უსაფრთხოების დარღვევისას შესაძლოა მომხმარებელთა ვირტუალურ მანქანებზე წვდომის SSH გასაღებები გამჟღავნდა
Toms Hardware
Nvidia Brev security breach may have exposed SSH keys used to access customer VMs — investigation finds unauthorized activity spanning 16 days, but no evidence of misuse
კომენტარი (0)
გაგვიზიარე შენი აზრი.
კომენტარები ავტომატურად მოწმდება.
აზრის გასაზიარებლად შექმენი ანგარიში ან შედი.
კომენტარები ჯერ არ არის. დაწერე პირველი.