ImageMagick permitió a investigadores llegar al GitHub interno de OpenAI

Los investigadores de seguridad de Hacktron AI afirmaron que una cadena de vulnerabilidades y una configuración incorrecta del inicio de sesión les permitieron llegar al GitHub interno de OpenAI a través del foro comunitario de la empresa. El trabajo también reavivó un detalle inquietante de una viñeta de xkcd de 2020: el texto que aparece al pasar el cursor mencionaba que ImageMagick se rompería.

Hacktron indicó que el foro usa Discourse. Su componente FastImage deriva a ImageMagick la conversión de imágenes HEIF que no puede procesar. ImageMagick llama a libheif para decodificar los archivos. La versión de libheif distribuida mediante Debian tenía un desbordamiento de búfer en el heap, corregido el año anterior, pero que no se había etiquetado como posible riesgo de seguridad.

Los investigadores dijeron que encadenaron exploits con una configuración incorrecta secundaria del inicio de sesión único (SSO). Según ellos, esto permitió que una cuenta comunitaria que iniciara sesión a través del foro accediera a cuentas de ChatGPT y Codex. Como prueba de concepto, realizaron una solicitud de cambios que describieron como inofensiva y avisaron a OpenAI. OpenAI corrigió el problema 14 horas después y concedió al equipo una recompensa de 6.500 dólares. Más tarde, Discourse puntuó el fallo de imagen con un 8,8 en la escala CVSS y añadió aislamiento para el procesamiento de imágenes.

Hacktron afirmó que los mismos decodificadores de imágenes también aparecen en programas y servicios como Slack, Meta, GitHub Enterprise, Ruby on Rails y marcos como Next.js, Astro y Gatsby. El equipo dijo que tres investigadores utilizaron Claude Opus 4.8 de Anthropic antes de pasar a Opus 5, gastaron menos de 3.000 dólares en tokens y prepararon un exploit en dos meses. Según el informe, la IA aceleró el trabajo, pero no era imprescindible para realizarlo.