HacktronのOpenAIハッキング：ヒープオーバーフローとSSO設定ミスによる内部リポジトリ侵害

要点

Hacktronは、libheif画像デコーダーにおけるヒープバッファオーバーフローと、設定ミスのあるOpenAI SSOフローを組み合わせて、従業員のChatGPT/Codexアカウントをハイジャックし、GitHub統合を取得して、OpenAIの内部モノレポにプルリクエストを作成しました。これらはすべて72時間以内、人間の作業時間はわずか数時間で達成されました。

攻撃チェーン概要

攻撃は9段階のチェーンを経て進行しました：

  1. libheif画像デコーダーには、範囲外読み書き（out-of-bounds read/write）のプリミティブが含まれていました。
  2. Debianのセキュリティバックポートの欠如により、脆弱なlibheifバージョン（1.19.7/1.19.8）がDiscourseのDockerイメージに残されていました。
  3. ImageMagickがHEIC/HEIFのアップロードに対してlibheifを呼び出していました。
  4. OpenAIの公開フォーラム（community.openai.com）はDiscourseをベースにしています。
  5. OpenAI SSO（auth.openai.com）は、フォーラムのログインをChatGPT/Codexアカウントにリンクしていました。
  6. 侵害されたフォーラムアカウントにより、従業員のChatGPT/Codexセッションを制御することが可能になりました。
  7. CodexのGitHub統合により、リポジトリへのアクセスが可能になりました。
  8. ハッカーは、概念実証として内部のopenai/openaiモノレポにPR #1186742を作成しました。
  9. このチェーンは、OpenAI SSOを使用するあらゆるサービスが同様に悪用され得ることを示しました。

脆弱性の詳細

libheifにおけるヒープオーバーフロー

  • Discourseは、FastImageがHEIFをサポートしていないため、HEIC/HEIFファイルをImageMagickに転送します。
  • オーバーフローを導入したlibheifの上流コミットはセキュリティ修正としてタグ付けされておらず、CVEも割り当てられなかったため、Debian 12/13には脆弱な1.19.xパッケージが搭載されていました。
  • このオーバーフローにより、画像デコード中に任意の範囲外読み書きが可能になり、典型的なRCE（リモートコード実行）プリミティブが提供されます。

OpenAI SSOの設定ミス

  • OpenAIのフォーラムは、auth.openai.com経由で「OpenAIでログイン」を許可していました。
  • SSOフローは認証トークンを十分に分離しておらず、侵害されたフォーラムセッションがリンクされたChatGPT/Codexアカウントをハイジャックすることを可能にしていました。
  • 従業員のCodexセッションが奪取されると、攻撃者は従業員が承認したGitHub接続統合のいずれかを呼び出すことができました。

攻撃実行のタイムライン

時刻 (UTC) マイルストーン
7月23日 DiscourseのDockerイメージにおけるlibheifのオーバーフローを発見。
7月24日 Claude Opus 4.8を使用してローカルエクスプロイトを開発。ASLRに苦戦。
7月25日 06:00 Claude Opus 5が動作するARM64エクスプロイトを生成し、その後jemallocを使用してx86-64に移植。
7月25日 10:00 自律的なClaudeループがDiscourse CloudでRCEを達成し、/etc/hostsを読み取り、生成されたスクリプトを使用してOpenAIのフォーラムインスタンスでRCEを取得。
7月25日 ≈ 12:00 従業員のChatGPT/Codexセッションをハイジャックし、Codex-GitHub統合を使用して内部モノレポにPR #1186742を作成。
7月25日 – 7月27日 調査結果をOpenAI、Discourse、Bugcrowdに報告。OpenAIから6,500ドルのバウンティを受領。

生成AIの役割

  • Claude Opus 4.8は、信頼できるエクスプロイトを生成するために複数のセッションと手動での調整が必要でした。
  • Claude Opus 5は数時間以内に機能するエクスプロイトを生成し、ターゲットのjemalloc設定に自動的に適応しました。
  • 研究者たちは、未知の環境を対象とする場合、Opus 5からGPT-5.6-Solへの明確な能力の飛躍を指摘しています。
  • AIの支援により、エクスプロイト開発は数日から数時間に短縮されましたが、オーケストレーションと検証には人間のガイダンスが不可欠でした。

コミュニティとベンダーの対応

  • Discourseは脆弱なlibheifバージョンをパッチ適用し、ImageMagickをサンドボックス化し、セキュリティアドバイザリ（GHSA-vhm9-85gw-x335）を発行しました。修正にはDockerイメージの再構築（git pull && ./launcher rebuild app）が必要でした。
  • OpenAIは開示を調整し、6,500ドルのバウンティを支払うとともに、SSOフローを更新しました（詳細は非公開）。
  • Debianは2026年8月8日に、脆弱なlibheifパッケージのセキュリティ更新を発表しました。

Hacker Newsからのコメント

"Claude Opus 5が動作するエクスプロイトを生成した速度は、ハッキングがほぼ完全に機械検証可能になりつつあることを示しており、従来のCTFトレーニングを超えた迅速な反復を可能にしています。" – @usernomdeguerre

"サンドボックス化されていないImageMagickは依然としてセキュリティ上の悪夢です。Google/Wuffsのようなより安全なパーサーや、堅牢なサンドボックス化が必要です。" – @oefrha

"セルフホスティングの運用者はDiscourseコンテナを再構築する必要があります。そうでなければ、脆弱なlibheifはWebインターフェースの更新の背後に隠れたままになります。" – @sams99

"モノレポ全体を暴露し得るチェーンに対して6,500ドルのバウンティは異常に低いです。ブラックマーケットでの価値は桁違いに高くなるでしょう。" – @rvz

"SSOの欠陥こそが本当の核心です – ブログは詳細を省略しており、読者はアカウント乗っ取りがどのように達成されたかを推測するしかありません。" – @sergiotapia

影響評価

  • 範囲: OpenAI SSOを有効にしたあらゆるサービス（内部ツール、サードパーティ統合）は、同じベクトルを通じて侵害され得ます。
  • 波及力: GitHub、Slack、メール、および他の接続サービスへのアクセスにより、潜在的なデータ漏洩が拡大します。
  • 経済的コスト: 研究プロジェクトのコストはトークン使用料で3,000ドル未満でした。人間の労力は週ではなく時間で測定されます。
  • 戦略的含意: AI駆動のエクスプロイト生成により、従来の「数ヶ月の作業」のタイムラインが数日に圧縮され、高度な攻撃の障壁が低下しています。

緩和措置の推奨事項

  1. libheifのパッチ適用 – 上流のv1.23.4以降にアップグレードし、ディストリビューションのパッケージにバックポートされた修正が含まれていることを確認してください。
  2. 画像処理のサンドボックス化 – ImageMagick（またはネイティブデコーダー全般）を強化されたサンドボックス（例：Landlock、seccomp、または別個のコンテナ）内で実行し、厳格なリソース制限を適用してください。
  3. HEIF/AVIFの制限 – 絶対に必要でない限り、HEIF/AVIF形式の受け入れを無効にしてください。WebアップロードにはJPEG/PNGを優先してください。
  4. SSOトークンのスコープのレビュー – フォーラムログイン用に発行されたSSOトークンが、CodexやGitHubなどの高権限サービスへのアクセスに再利用できないことを確認してください。
  5. 継続的な依存関係の監視 – 低レベルライブラリ（例：libheif、libde265）の上流セキュリティパッチを追跡し、迅速に適用してください。
  6. AI統合ワークフローのための多層防御 – AI駆動の統合（Codex、ChatGPT）を権限付き内部リソースから分離し、最小権限のOAuthスコープを強制してください。

より広範な教訓

  • 複雑性によるセキュリティの侵食: AIは、メモリ破損バグを信頼できるエクスプロイトに変換する知識集約的なステップを自動化でき、専門性の希少性が提供してきた歴史的な保護を無効にします。
  • サプライチェーンの警戒: Slack、Meta、GitHub Enterprise、および多くのWebフレームワーク全体で使用される単一の画像デコーダーライブラリは、高価値の攻撃対象面になります。
  • 経済的シフト: 完全なエクスプロイトチェーンのコストは、エンジニアリングの月数ではなく、計算リソースのドル額で測定されるようになり、脅威モデルの見直しを求めています。
  • 責任ある開示: 研究者、ベンダー、バウンティプラットフォーム間の迅速な調整により被害を軽減できますが、バウンティ額は真の戦略的インパクトを反映すべきです。

引用された投稿とコメントは、原文のまま再現されています。ソース資料を超えた追加の事実は捏造されていません。

Sources

関連