Критические баги в ChatGPT-плагинах раскрывали конфиденциальные данные

Критические баги в ChatGPT-плагинах раскрывали конфиденциальные данные

В расширениях для ChatGPT нашли три уязвимости, открывающие несанкционированный доступ к аккаунтам пользователей и сервисам, включая репозитории на платформах вроде GitHub.

Разработчики размещают плагины для ChatGPT и кастомные версии бота для расширения функциональных возможностей ИИ-модели. Это подразумевает обмен информацией с внешними сервисами: ChatGPT получает возможность выполнять действия на сторонних сайтах (например, GitHub и Google Диск).

Исследователи из Salt Labs нашли сразу три критические уязвимости, одна из которых возникает в момент инсталляции новых плагинов — когда ChatGPT перенаправляет пользователей на сторонний ресурс для подтверждения кода.

В результате атакующие могут обманом заставить юзера одобрить вредоносный код, после чего несанкционированный плагин установится автоматически. Успешная эксплуатация этой бреши способна открыть злоумышленникам доступ к аккаунтам жертвы.

Ещё одну уязвимость нашли во фреймворке PluginLab, который используется при разработке плагинов. С его помощью киберпреступники могут выдать себя за целевого пользователя и тоже перехватить контроль над учётной записью.

Ещё одна проблема касается манипуляции редиректом OAuth, что позволяет атакующим внедрить вредоносные URL и украсть учётные записи пользователей.

К счастью, признаков эксплуатации уязвимостей в реальных атаках эксперты не нашли. Специалисты Salt Labs также отметили, что в настоящее время все лазейки закрыты.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Июльские обновления отправляют Windows в режим восстановления BitLocker

По словам Microsoft, ряд устройств, работающих на операционной системе Windows, загружается в режим восстановления BitLocker после установки июльских патчей.

Напомним, функция безопасности BitLocker позволяет значительно снизить риск кражи данных и раскрытия конфиденциальной информации в том случае, если кто-то украл ваше устройство или оно просто отправилось в утиль.

BitLocker шифрует диск компьютера таким образом, что у третьих лиц нет возможности добраться до важных сведений.

При этом устройства могут автоматически переходить в режим восстановления BitLocker после определённых событий: обновление аппаратной составляющее или прошивки, изменения в модуле TPM (Trusted Platform Module).

«После установки патчей, вышедших 9 июля 2024 года (KB5040442), вы можете наткнуться на экран восстановления BitLocker при попытке загрузить компьютер», — объясняет Microsoft.

«Вероятность поймать баг гораздо выше, если у вас активирована опция Device Encryption. Как правило, этот экран не появляется после инсталляции апдейтов».

Тем пользователям, кого затронула проблема, нужно будет ввести ключ восстановления BitLocker, позволяющий разблокировать диск и загрузить устройство в нормальном режиме.

 

Известно, что баг проявляется как на серверных, так и на клиентских версиях операционной системы:

  • Клиентские: Windows 11 23H2, Windows 11 22H2, Windows 11 21H2, Windows 10 22H2, Windows 10 21H2;
  • Серверные: Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2, Windows Server 2008.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru