ChatGPT Paylaşım Açığı: Özel Sohbetlere Erişimi Sağlayan Güvenlik Açığı Kapatıldı
Kaynak: shiftdelete.net ·
Güvenlik firması Parameter tarafından tespit edilen ChatGPT paylaşım bağlantısı açığı, kullanıcı hesaplarında kod çalıştırarak özel sohbetlere erişilmesine yol açabiliyordu. MathLive kütüphanesindeki mesaj dinleyicisinin göndericiyi doğrulamaması, ham HTML kabul etmesi ve yalıtılmış alan içinde çalışmaması bu zafiyete neden oldu. OpenAI, bildirimin ardından sekiz gün içinde hatayı sunucu tarafında kapattı ve konuyu en ciddi P1 seviyesine taşıdı. Düzeltme sunucu tarafında yapıldığı için kullanıcıların herhangi bir işlem yapması gerekmiyor.
Neden önemli?
Bu açık, şifre çalmaya gerek kalmadan yalnızca açık oturum ve tek bir tıklama üzerinden kullanıcıların son sohbetlerini listeleyip özel sohbetlerine erişilebilmesi nedeniyle risk oluşturuyordu. Güvenlik açığının kapatılması, paylaşılan bağlantılar üzerinden yapılabilecek yetkisiz veri sızıntılarını ve kod çalıştırma girişimlerini önler.
Bununla neler yapılabilir?
- Olası kullanım: Paylaşılan sohbet bağlantılarının önizleme özelliklerinin güvenliğinin test edilmesi.
- Olası kullanım: Harici kütüphanelerden gelen ham HTML ve mesaj girdilerinin yalıtılmış alanlarda işlenmesi.
Somut sonuçlar ve kanıtlar
- ChatGPT paylaşım açığı, tek tıklamayla özel sohbetlere erişim sağlıyor; OpenAI hatayı sekiz günde kapatıp araştırmacılara 5.000 dolar ödül verdi. (Kaynak)
Sınırlar ve açık kalan sorular
Açığın gerçek saldırılarda kullanıldığına dair bir bulgu bildirilmemiştir; testler ayrı hesaplar üzerinden gerçekleştirilmiştir.