به گزارش خبرگزاری خبرآنلاین و براساس گزارش دیجیاتو، شرکت امنیت سایبری «پارامتر» این آسیب‌پذیری را شناسایی و جزئیات سازوکار حمله را منتشر کرده است. محققان در ۱۸ اکتبر (۲۶ مهر) این نقص را از طریق برنامه شکار باگ به اوپن‌ای‌آی گزارش دادند و این شرکت از ۲۶ اکتبر (۴ آبان) جلوی اجرای حمله را گرفت.
در این روش، مهاجم با ساخت یک گفت‌وگوی اشتراک‌گذاری‌شده حاوی پیش‌نمایش HTML و نمودار، از نقص امنیتی کتابخانه‌ای به نام «MathLive» استفاده می‌کرد. این کتابخانه پیام‌های دریافتی از پنجره‌های دیگر را بدون اعتبارسنجی می‌پذیرفت و امکان تزریق کد HTML به صفحه را فراهم می‌کرد. در نتیجه، مهاجم می‌توانست به فهرست مکالمات کاربر دسترسی پیدا کند و اطلاعات آن‌ها را به سروری خارجی بفرستد.
در مراحل پیشرفته‌تر این حمله، مهاجم می‌توانست از طریق رابط برنامه‌نویسی کاربردی (API) اقداماتی را به نام قربانی انجام دهد؛ قابلیتی که پژوهشگران آن را تصاحب حساب کاربری توصیف کرده‌اند.
اوپن‌ای‌آی این آسیب‌پذیری را در رده بحرانی P1 طبقه‌بندی کرد. شرکت پارامتر همچنین اعلام کرده است که هیچ نشانه‌ای از قربانی‌شدن کاربران واقعی پیدا نکرده و آزمایش این حمله را فقط روی حساب‌های آزمایشی خود انجام داده است.
با وجود رفع آسیب‌پذیری، کاربران بهتر است لینک‌های اشتراک‌گذاری‌شده قبلی خود را بازبینی کنند. این لینک‌ها برای هر فردی که به آن‌ها دسترسی داشته باشد قابل مشاهده و بازنشر هستند. کاربران می‌توانند از بخش «Data controls» در تنظیمات چت‌جی‌پی‌تی، از طریق گزینه «Manage» در قسمت «Shared links»، لینک‌های ساخته‌شده را بررسی و در صورت نیاز حذف کنند. حذف گفت‌وگوی اصلی نیز لینک اشتراک‌گذاری آن را باطل می‌کند.
اوپن‌ای‌آی اعلام کرده است که برای رفع این مشکل نیازی به نصب به‌روزرسانی از سوی کاربران نیست.
۲۲۷۲۲۷
نظر شما