Un gruppo di ricercatori ha violato l’infrastruttura di OpenAI concatenando una vulnerabilità nella libreria di gestione delle immagini libheif e un difetto di configurazione nella gestione del Single Sign-On. L’attacco, condotto a luglio dal team Hacktron e concluso nell’arco di 72 ore, ha consentito di accedere agli account aziendali di ChatGPT e Codex, dimostrando la penetrazione attraverso la creazione della pull request #1186742 nel repository privato openai/openai.
L’origine del problema è nel processo di elaborazione dei file HEIC e HEIF gestito dal software Discourse, impiegato per la gestione della piattaforma di supporto. L’applicazione inviava i file a ImageMagick, esponendo direttamente il parser della libreria libheif 1.19.7 installata nell’immagine Docker basata su Debian 12. Tale versione soffriva di un heap buffer overflow non corretto, idoneo a garantire primitive di lettura e scrittura fuori dai limiti della memoria.
Per accelerare lo sviluppo del codice exploit, gli analisti si sono serviti di strumenti di intelligenza artificiale. Se Claude Opus 4.8 non era riuscito a superare le protezioni ASLR sulle configurazioni standard, il rilascio di Claude Opus 5 ha sbloccato la situazione: l’agente ha generato un exploit funzionante per architettura ARM64 in sole 3 ore, convertendolo poi per l’ambiente x86-64 dotato di allocatore jemalloc.
Dalla falla nel forum all’escalation sui repository privati
Ottenuta l’esecuzione di codice remoto sul server web, la vera escalation è avvenuta sfruttando l’errata configurazione delle identità registrata su auth.openai.com. La catena d’attacco ha permesso di sottrarre le sessioni attive su community.openai.com senza alcuna interazione con l’utente, estendendo la potenziale portata del furto ai servizi collegati come GitHub, Slack e la posta elettronica dei dipendenti.
La ricerca rientra nell’ambito dell’indagine HEIF Heist, una campagna durata due mesi che ha analizzato l’impatto di libheif su infrastrutture esterne come Meta, Slack, Next.js, Astro e Ruby on Rails. A fronte di un costo complessivo inferiore ai 3.000 dollari in token, la squadra di sicurezza ha verificato come soltanto Shopify sia stata in grado di rilevare le scansioni anomale, mentre l’ecosistema soffriva la presenza di versioni vulnerabili precedenti alla release libheif v1.23.4.
OpenAI ha risolto la vulnerabilità sui propri server in circa 14 ore dalla segnalazione inoltrata tramite Bugcrowd, liquidando una ricompensa di 6.500 dollari per il componente di autenticazione. Discourse ha contestualmente rilasciato un aggiornamento con isolamento sandbox per le conversioni grafiche, raccomandando ai gestori di istanze autonome la ricompilazione manuale del container d’applicazione.