چیٹ جی بی ٹی میں ایک بڑی سیکورٹی لیک

ابھی کچھ عرصہ قبل تک، «چیٹ جی پی ٹی» میں مشترکہ چیٹ لنک پر ایک کلک کرنے سے کسی اجنبی کو صارف کی ذاتی گفتگوؤں تک رسائی حاصل ہو سکتی تھی۔

سائبر سیکیورٹی کمپنی «پیرامیٹر» نے کچھ دن پہلے شائع کردہ تفصیلی رپورٹ میں حملے کی سلسلہ وار تفصیلات بیان کیں، جسے آج «العربیہ ڈاٹ نیٹ» نے منتقل کیا۔ اس دوران اوپن اے آئی، یعنی چیٹ جی پی ٹی کا ڈویلپر، نے اس کمزوری کو پہلے ہی حل کر لیا تھا۔

ٹیکنالوجی خبروں کی ویب سائٹ «نوٹ بک چیک» کی رپورٹ کے مطابق، محققین نے 18 اکتوبر کو اوپن اے آئی کے بگ باؤنٹی پروگرام کے ذریعے اس کمزوری کی اطلاع دی تھی، اور 26 اکتوبر سے ویب ایپلیکیشن کے چیٹ جی پی ٹی کے ورژن حملے کے خلاف محفوظ ہو گئے تھے۔

پیرامیٹر نے بتایا کہ انہوں نے کسی حقیقی متاثرہ صارف کی کوئی نشاندہی نہیں کی، اور حملے کی سلسلہ وار جانچ صرف کمپنی کے اپنے اکاؤنٹس تک محدود تھی۔

گراف بنانے کے لیے، چیٹ جی پی ٹی میٹھ لائیو (MathLive) لائبریری کا استعمال کرتا ہے، جو ریاضیاتی مساوات درج کرنے کے لیے اسکرین پر کی بورڈ فراہم کرتی ہے۔ یہ کی بورڈ کسی بھی دوسرے ونڈو سے پیغامات قبول کرتی تھی، اور بغیر تصدیق کے پیج کے اندر HTML مواد درج کر دیتی تھی۔ اس کی وجہ سے ایک ایسا فریم ورک وجود میں آیا جو سیکیورٹی کے لحاظ سے الگ تھلگ نہیں تھا، جسے براؤزر چیٹ جی پی ٹی کی ویب سائٹ کا حصہ سمجھتا تھا۔ ویب سائٹ کی سیکیورٹی پالیسیوں نے یوٹیوب سے اسکرپٹس لوڈ کرنے کی اجازت دی، جس کا فائدہ اٹھاتے ہوئے محققین نے اپنا جافا اسکرپٹ کوڈ چلایا۔

یہ کوڈ چیٹ جی پی ٹی میں لاگ ان صارف کی سیشن کے اندر چلتا تھا، جس سے اسے تمام گفتگوؤں کی فہرست تک رسائی، کسی ایسی ذاتی گفتگو کو کھولنے کی اجازت ملتی جو پہلے شیئر نہیں کی گئی تھی، اور اس کے بعض حصوں کو بیرونی سرور پر بھیجنے کا موقع ملتا تھا۔ چیٹ جی پی ٹی کی اندرونی ایپلیکیشن پروگرامنگ انٹرفیسز (APIs) کے ذریعے، یہ کوڈ صارف کی طرف سے اقدامات بھی انجام دے سکتا تھا، جسے پیرامیٹر نے اکاؤنٹ پر قبضے کا درجہ حاصل کرنے والا قرار دیا ہے۔