Invadiram a OpenAI com uma foto... #openai #hack #security

Autoria: Better Stack · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: They Hacked OpenAI With a Photo… #openai #hack #security · Canal: Better Stack · 01:33 · Assistir no YouTube

Tópicos: Cibersegurança e segurança de software, Modelos multimodais

Resumo

Três pesquisadores conseguiram acesso ao monorepo da OpenAI em menos de 72 horas ao explorar uma vulnerabilidade na biblioteca libheif, usada para decodificar imagens HEIC. O caminho até a biblioteca passava pelo processamento de imagens do fórum da comunidade da OpenAI, e a vulnerabilidade corrigida anteriormente não havia sido identificada como uma correção de segurança nem recebido um CVE. Uma configuração incorreta de SSO permitiu que o acesso ao fórum pudesse levar a contas de funcionários no ChatGPT e no Codex; os pesquisadores provaram o acesso com um pull request e receberam uma recompensa de US$ 6.500. O vídeo alerta que a libheif também é usada por outros produtos e recomenda verificar sua versão em aplicativos que aceitam imagens HEIC ou AVIF.

Pontos-chave

Três pesquisadores acessaram o monorepo da OpenAI em menos de 72 horas por meio de uma vulnerabilidade relacionada à libheif.
O fórum da comunidade da OpenAI usa Discourse, e imagens HEIC enviadas eram encaminhadas ao ImageMagick e depois à libheif.
A vulnerabilidade já havia sido corrigida no projeto original, mas a alteração não foi marcada como correção de segurança nem recebeu um CVE.
A imagem Docker do Discourse, baseada no Debian 12, ainda incluía a versão vulnerável da biblioteca.
Uma configuração incorreta de SSO poderia transformar o controle do fórum em acesso a contas de funcionários no ChatGPT e no Codex.
Os pesquisadores abriram um pull request no GitHub da OpenAI como prova de acesso e receberam uma recompensa de US$ 6.500.
O vídeo afirma que a libheif também é usada por Slack, Meta, GitHub Enterprise, Rails e frameworks Node, como Next.js.
Aplicativos que aceitam uploads HEIC ou AVIF devem verificar qual versão da libheif utilizam.

Capítulos

Início	Capítulo	Resumo
00:00	A cadeia de processamento de imagens	O vídeo apresenta a libheif e explica como imagens HEIC enviadas ao fórum da OpenAI chegavam diretamente à biblioteca.
00:30	Uma correção que não chegou ao Debian	A vulnerabilidade já tinha sido corrigida, mas a falta de identificação como correção de segurança impediu o backport para a versão do Debian usada pelo Discourse.
01:01	Do fórum às contas e ao monorepo	Uma configuração incorreta de SSO ampliou o impacto do acesso, que foi demonstrado com um pull request e rendeu uma recompensa de US$ 6.500.
01:33	Verifique as dependências de uploads	O vídeo cita outros sistemas que usam libheif e recomenda verificar a versão da biblioteca em aplicativos que aceitam HEIC ou AVIF.

Citações

Três pesquisadores entraram no monorepo da OpenAI em menos de 72 horas. — 00:00

A imagem controlada por um atacante pode atingir diretamente esse parser. — 00:30

Eles usaram uma conta para abrir um pull request como prova de que estavam lá dentro. — 01:01

A parte mais fraca do nosso código muitas vezes não é o código em si. — 01:33

Conceitos e entidades

libheif (ferramenta): Biblioteca que decodifica imagens HEIC e que, segundo o vídeo, continha a vulnerabilidade explorada.
HEIC (conceito): Formato de imagem cujos arquivos eram encaminhados à libheif no fluxo descrito.
AVIF (conceito): Formato de imagem citado como exemplo de uploads que devem levar à verificação da versão da libheif.
Discourse (ferramenta): Software usado pelo fórum da comunidade da OpenAI, segundo a transcrição.
fastimage (ferramenta): Ferramenta usada pelo Discourse para verificar imagens enviadas, mas que não oferece suporte a HEIF.
ImageMagick (ferramenta): Ferramenta para processamento de imagens que encaminhava os arquivos ao libheif.
OpenAI (empresa): Empresa cujo fórum, contas de funcionários e monorepo são mencionados no relato.
Debian (empresa): Distribuição na qual se baseava a imagem Docker do Discourse descrita no vídeo.
ChatGPT (modelo): Produto cujas contas de funcionários poderiam ser afetadas pela configuração incorreta de SSO.
Codex (modelo): Produto da OpenAI mencionado entre as contas de funcionários potencialmente acessíveis.
GitHub (empresa): Plataforma na qual os pesquisadores abriram um pull request como prova de acesso.
SSO (conceito): Mecanismo de autenticação única cuja configuração incorreta poderia ampliar o impacto do acesso ao fórum.
CVE (conceito): Identificador de vulnerabilidade que, segundo o vídeo, não foi atribuído à falha na época.

Tradução completa (pt-BR)

00:00 Três pesquisadores conseguiram entrar no monorepo da OpenAI em menos de 72 horas. E o bug que os levou até lá estava em uma biblioteca de imagens da qual a maioria de nós nunca ouviu falar. Deixe-me explicar. A biblioteca se chama libheif. Ela decodifica arquivos HEIC, aquele tipo de foto que acabamos tirando no iPhone. O fórum da comunidade da OpenAI usa o Discourse, que normalmente verifica as imagens enviadas usando uma ferramenta chamada fastimage. Mas o fastimage não dá suporte a HEIF. Então, quando alguém envia

00:30 uma dessas imagens, ela é passada para o ImageMagick, que a encaminha diretamente para o libheif. Isso significa que uma imagem controlada por um invasor pode chegar diretamente a esse analisador. Agora, é aqui que a história fica mais interessante. O bug que eles exploraram já havia sido corrigido no projeto original no ano anterior. O problema é que esse commit nunca foi marcado como uma correção de segurança. Também nunca recebeu um CVE, então o Debian nunca incorporou a correção. E, como a imagem Docker do Discourse é baseada no Debian 12, ela ainda distribuía a versão vulnerável. E

01:01 de alguma forma, essa nem era a pior parte. O fórum usava o próprio sistema de login único da OpenAI. E uma configuração incorreta ali significava que assumir o controle do fórum de ajuda poderia levar à tomada das contas de ChatGPT e Codex dos funcionários. Uma dessas contas estava conectada ao GitHub da OpenAI, então eles a usaram para abrir um pull request como prova de que tinham conseguido entrar. Depois, pararam. A OpenAI acabou pagando a eles uma recompensa de US$ 6.500, e então eles tentaram novamente em outro lugar. Como o libheif também está presente no Slack, Meta, GitHub Enterprise, Rails e frameworks Node como Next.js, eles dizem

01:33 que adaptar esse exploit para cada uma dessas empresas levou cerca de um ou dois dias. Então, se o seu app aceita uploads de HEIC ou AVIF, confira qual versão do libheif você está usando. Porque, muitas vezes, a parte mais fraca do nosso código não é o código em si. Na verdade, são todas essas bibliotecas e pacotes que estão rodando por baixo dele. Se você gosta de dicas e truques de programação como este, não deixe de se inscrever no canal Better Stack.

Transcrição original

[00:00] Three researchers got into OpenAI’s mono repo in under 72 hours. And the bug that got them there was an image library most of us have never even heard of. Let me explain. The library is called libheif. It decodes HEIC files, those types of photos that we end up taking on the iPhone. OpenAI’s community forum runs on Discourse, which normally checks uploaded images using a tool called fastimage. But fastimage, it doesn’t support HEIF. So when someone uploads

[00:30] one of those images, it gets passed to ImageMagick, which then hands it straight to libheif. That means an attacker-controlled image can hit that parser directly. Now, here’s where it gets more interesting. The bug they exploited had actually been fixed upstream the year before. The problem was that commit was never actually marked as a security fix in the first place. It never got a CVE either, so Debian never backported the patch. And because Discourse’s Docker image is based on Debian 12, it was still shipping the vulnerable version. And

[01:01] somehow this wasn’t even the worst part. The forum used OpenAI’s own single sign-on. And a misconfiguration there meant taking over the help forum could turn into taking over employees’ ChatGPT and Codex accounts. One of those accounts was connected to OpenAI’s GitHub, so they used it to open a pull request as proof that they were inside. Then they stopped. OpenAI ended up paying them a $6,500 bounty, and then they tried again elsewhere. Because libheif also sits underneath Slack, Meta, GitHub Enterprise, Rails, and Node frameworks like Next.js, they say

[01:33] adapting this exploit to each of those companies took about a day or two. So if your app accepts HEIC or AVIF uploads, go check which version of libheif you’re running. Because a lot of times the weakest part of our code isn’t actually the code itself. It’s really all these libraries and packages that we have running underneath it. If you enjoy coding tips and tricks like this, be sure to subscribe to the Better Stack channel.