ചാറ്റ് ജിബിടിയിലെ ദുരുപയോഗം ഒരു ചെറിയ പിഴവ് വഴി

ഇതുവരെ ചാറ്റ്ജിപിടിയിലെ ഒരു പൊതു ചാറ്റ് ലിങ്കിൽ ഒരു ക്ലിക്ക് മതി, ഒരു അജ്ഞാത വ്യക്തിക്ക് ഉപയോക്താവിന്റെ സ്വകാര്യ സംഭാഷണങ്ങൾ കാണാൻ സാധിക്കുമായിരുന്നു. സൈബർ സുരക്ഷാ കമ്പനിയായ പാരാമീറ്റർ ദിവസങ്ങൾക്ക് മുൻപ് പ്രസിദ്ധീകരിച്ച വിശദമായ റിപ്പോർട്ടിലൂടെ ഈ ആക്രമണ ശ്രേണിയുടെ വിശദാംശങ്ങൾ വെളിപ്പെടുത്തി, ഇത് ഇന്ന് അൽ-അറബിയ നെറ്റ് കൈമാറി. ആ സമയത്തേക്ക് ചാറ്റ്ജിപിടി വികസിപ്പിച്ച കമ്പനിയായ ഓപ്പൺ എഐ ഈ ദുർബലത പരിഹരിച്ചിരുന്നു.

ടെക്നോളജി വാർത്തകളിൽ പ്രത്യേകത നേടിയിട്ടുള്ള നോട്ട്ബുക്ക്ചെക്ക് വെബ്‌സൈറ്റിന്റെ റിപ്പോർട്ട് പ്രകാരം, ഗവേഷകർ 18 ഒക്ടോബർ ഓപ്പൺ എഐയുടെ സുരക്ഷാ ദുർബലതകൾ കണ്ടെത്തുന്നതിനുള്ള ബഹുമതി പദ്ധതിയിലൂടെ ഈ ദുർബലത റിപ്പോർട്ട് ചെയ്തു. 26 ഒക്ടോബറിൽ നിന്ന്, വെബ് ആപ്പ് പതിപ്പുകൾ ആക്രമണത്തിൽ നിന്ന് സുരക്ഷിതമായി. പാരാമീറ്റർ പറഞ്ഞത്, യഥാർത്ഥ ഉപയോക്താക്കളുടെ ആക്രമണത്തിന്റെ ലക്ഷണങ്ങൾ കണ്ടെത്തിയിട്ടില്ലെന്നും, ആക്രമണ ശ്രമങ്ങൾ കമ്പനിയുടെ സ്വന്തം അക്കൗണ്ടുകളിൽ മാത്രം പരിമിതപ്പെടുത്തിയിട്ടുണ്ടെന്നുമാണ്.

ചാറ്റ്ജിപിടി ഗ്രാഫിക് ഉണ്ടാക്കാൻ മാത്ത്ലൈവ് ലൈബ്രറി ഉപയോഗിക്കുന്നു, ഇത് സ്ക്രീനിൽ കീബോർഡ് നൽകി ഗണിത സമവാക്യങ്ങൾ നൽകാൻ സഹായിക്കുന്നു. ഈ കീബോർഡ് മറ്റേതെങ്കിലും വിൻഡോയിൽ നിന്ന് സന്ദേശങ്ങൾ സ്വീകരിച്ചിരുന്നു, പേജിൽ എച്ച്ടിഎംഎൽ ഉള്ളടക്കം പരിശോധിക്കാതെ ചേർക്കുന്നു. ഇത് സുരക്ഷാപരമായി വേർതിരിഞ്ഞിട്ടില്ലാത്ത ഒരു ഫ്രെയിം ഉണ്ടാക്കി, ബ്രൗസർ ഇത് ചാറ്റ്ജിപിടി വെബ്‌സൈറ്റിന്റെ ഭാഗമായി കണക്കാക്കുന്നു. വെബ്‌സൈറ്റിന്റെ സുരക്ഷാ നിയമങ്ങൾ യൂട്യൂബിൽ നിന്ന് സ്ക്രിപ്റ്റുകൾ ലോഡ് ചെയ്യാൻ അനുവദിച്ചു, ഗവേഷകർ സ്വന്തം ജാവാസ്ക്രിപ്റ്റ് കോഡ് പ്രവർത്തിപ്പിക്കാൻ ഇത് ഉപയോഗിച്ചു.

ഈ കോഡ് «ചാറ്റ്ജിപിടി»യിലേക്ക് ലോഗിൻ ചെയ്ത ഉപയോക്താവിന്റെ സെഷനിൽ പ്രവർത്തിച്ചു, ഇത് എല്ലാ സംഭാഷണങ്ങളുടെയും പട്ടികയിലേക്കുള്ള പ്രവേശനം, പങ്കിട്ടിട്ടില്ലാത്ത ഒരു പ്രൈവറ്റ് സംഭാഷണം തുറക്കുക, അതിന്റെ ഭാഗങ്ങൾ ഒരു ബാഹ്യ സെർവറിലേക്ക് അയയ്ക്കുക എന്നിവ സാധ്യമാക്കി. «ചാറ്റ്ജിപിടി»യുടെ ഇന്റേണൽ എപിഐകൾ വഴി, ഈ കോഡിന് ഉപയോക്താവിന് വേണ്ടി പ്രവർത്തനങ്ങൾ നടത്താനും കഴിഞ്ഞു, ഇത് «പാരാമീറ്റർ» അക്കൗണ്ട് ഹാക്ക് ചെയ്യുന്നതിന് തുല്യമാണെന്ന് വിശേഷിപ്പിച്ചു.