Das Sicherheitsteam Parameter hat eine inzwischen behobene Angriffskette gegen ChatGPT veröffentlicht: Der Angreifer verschickt einen gewöhnlichen Share-Link zu einer Unterhaltung, das Opfer öffnet ihn im eingeloggten Zustand, und das JavaScript des Angreifers läuft in der Sitzung auf chatgpt.com. Die Forscher listeten im Test die letzten Unterhaltungen des Opfers auf, lasen einen privaten Chat, der nie geteilt worden war, und schickten eine kleine Datenmenge an einen externen Server.
Dafür war weder eine App-Installation nötig noch die Verbindung eines Drittanbieter-Plugins, und die Entwicklertools mussten ebenfalls nicht geöffnet werden. OpenAI bestätigte die Behebung am 26. Oktober und stufte die Schwachstelle als P1 ein.
Zwei gut isolierte Funktionen, verbunden durch eine Tastatur
Die HTML-Vorschau in ChatGPT läuft in einer eigenen, isolierten Domain und kommt designbedingt nicht an die Hauptseite heran. Das Problem liegt bei den interaktiven Grafiken in Unterhaltungen: Sie laden die Mathe-Eingabebibliothek MathLive, und diese installiert auf der Hauptseite einen Listener für Nachrichten der virtuellen Tastatur.
Der Parameter-Bericht gliedert den Fehler in mehrere Ebenen:
- Der Listener prüft nicht, woher eine Nachricht stammt, sodass auch die Vorschau in der isolierten Domain ihm Nachrichten schicken kann
- Nachrichten können das Tastaturlayout ändern, das Layout darf HTML enthalten, und dieses landet schließlich auf der Hauptseite
- Die Funktion, die „bereinigen“ soll, markiert den String in Wahrheit nur als vertrauenswürdig
- Das neu eingefügte iframe hat kein sandbox-Attribut und erbt damit die Identität von chatgpt.com
- Die Content Security Policy erlaubt YouTube-Skripte, und die Forscher umgingen sie über eine Callback-Schnittstelle von YouTube
In frühen Versionen musste das Opfer zuvor noch die ChatGPT-App der Forscher verbinden. Später packten sie die Grafik und die bösartige Vorschau in dieselbe öffentliche Unterhaltung, sodass die Share-Funktion allein zur Zustellung genügte. Der Bericht legt auch einen Teil der Anfragedetails offen, die wir hier nicht wiedergeben.
Zur Wirkung des Angriffs: Praktisch demonstriert wurden laut Bericht das Lesen von Unterhaltungen und das Abfließen von Daten. Dass sich „beliebige Aktionen im Namen des Opfers“ ausführen ließen, leiten die Forscher aus der Authentifizierungsschnittstelle des Frontends ab; es wurde nicht Punkt für Punkt vorgeführt.
Acht Tage von der Meldung zur Korrektur
Der Bericht ist sehr detailliert. Am 13. Oktober bestätigten die Forscher den Pfad über MathLive, am 16. Oktober gelang die Reproduktion über Konten und Workspaces hinweg, am 18. Oktober reichten sie den Fund beim Bug-Bounty-Programm von OpenAI ein. OpenAI reproduzierte den Fehler am 21. Oktober und stufte ihn von P2 auf P1 hoch, meldete am 22. Oktober, dass ein Frontend repariert sei und das andere noch aktualisiert werde, und schärfte am 23. Oktober zunächst die Content Security Policy nach, wodurch ein Teil der Kette blockiert wurde.
Die Webversion von ChatGPT betreibt gleichzeitig zwei Frontend-Versionen, deshalb erfolgte die Behebung in zwei Schritten.
Kontoübernahme ist kein Neuland
Teilen, Plugins, Caching: Frühere Schwachstellen zur Kontoübernahme bei ChatGPT lagen meist am Rand der Hauptabläufe. 2023 erbeutete der Forscher Nagli per Web Cache Deception ein Zugriffstoken, ebenfalls mit nur einem Klick des Opfers auf einen Link; 2024 machte Salt Labs ein Weiterleitungsproblem im Autorisierungsablauf von Plugins öffentlich. Diesmal ist der Einstieg eine Drittanbieter-Bibliothek zur Darstellung von Inhalten.
Auch MathLive selbst fiel nicht zum ersten Mal auf: In der US-amerikanischen National Vulnerability Database ist die Cross-Site-Scripting-Lücke CVE-2025-29049 verzeichnet, die Version 0.103.0 und frühere betrifft. Der Eintrag erwähnt keine Nachrichten der virtuellen Tastatur, ein direkter Zusammenhang zwischen beiden Fällen ist daher nicht erkennbar.
Normale Nutzer müssen derzeit nichts tun. Der Bericht sagt nicht, ob die Kette tatsächlich ausgenutzt wurde, und OpenAI hat dazu keine eigene Mitteilung veröffentlicht; ob es Betroffene gab, konnten wir nicht überprüfen. Eine Gewohnheit ist dennoch behaltenswert: ChatGPT-Share-Links von Unbekannten sollte man wie jeden anderen Weblink behandeln.
Der Rat an Entwickler am Ende des Berichts ist schlicht: Bei Nachrichten zwischen Fenstern sowohl die Herkunft als auch das sendende Fenster prüfen, Konfigurationsoptionen kein rohes HTML mitgeben lassen und die Content Security Policy nur als Reserveverteidigung betrachten.
Quellen: CocoLoop, Sicherheitsbericht von Parameter, US-amerikanische National Vulnerability Database; Stand der Behebung und Prämien nach Angaben des Forschungsteams, OpenAI hat keine eigene Mitteilung veröffentlicht.