Sicherheitsforscher gelangten über OpenAI-Forum an interne Repositorien

Hacktron-Forscher verketteten zwei kritische Schwachstellen und übernahmen ChatGPT-Konten mehrerer OpenAI-Beschäftigter. Darüber erreichten sie interne Repositorien. OpenAI und Discourse schlossen die Lücken nach einer koordinierten Meldung.

Das von Harsh Jaiswal gemeinsam mit Mohan Pedhapati und Rahul Maini geleitete Hacktron-Team erlangte am 25. Juli 2026 Zugriff. Laut ihrem technischen Bericht dauerte der Weg vom Fund zum internen Repositorium weniger als 72 Stunden. Als Nachweis ließ das Team Codex den harmlosen Änderungsantrag 1186742 im internen Repositorium openai/openai erstellen. Anschließend beendeten die Forscher ihre Tests.

Bilddatei öffnete den Serverzugang

Die erste Lücke betraf die Bildbibliothek libheif 1.19.7, die HEIC- und HEIF-Bilder verarbeitet, in einem auf Debian 12 basierenden Abbild der Forensoftware Discourse. Ein Speicherüberlauf ermöglichte Schadcode beim Hochladen einer präparierten Datei. ImageMagick leitete diese Formate direkt an libheif weiter. Claude Opus 5 wurde am Abend des 24. Juli veröffentlicht und erzeugte innerhalb von drei Stunden einen funktionierenden ARM64-Exploit. Bis 6 Uhr am 25. Juli bestätigte das Team die lokale Ausführung fremden Codes in der Discourse-Umgebung.

Hacktron erreichte damit die Ausführung fremden Codes auf community.openai.com. Eine fehlerhafte Konfiguration der zentralen Anmeldung (SSO), bei der man sich mit einer gemeinsamen Identität bei mehreren Diensten anmeldet, erweiterte den Zugriff anschließend auf ChatGPT und Codex. Verbundene Dienste konnten GitHub, Slack und E-Mail umfassen. Das betroffene Codex-Konto war mit OpenAIs GitHub-Organisation verbunden.

OpenAI reagierte binnen 14 Stunden

Hacktron meldete den Angriff am 25. Juli zwischen 8 und 10 Uhr über Bugcrowd. OpenAI bestätigte die Behebung um 22:49 Uhr, rund 14 Stunden später. Discourse erhielt parallel eine Meldung über HackerOne. Der Anbieter stellte am 27. Juli eine Korrektur bereit. Am 28. Juli folgte der Sicherheitshinweis GHSA-vhm9-85gw-x335 samt Vorgaben für Neuaufbau und Aktualisierung. Von Discourse betriebene Installationen waren bereits korrigiert; selbst betriebene Installationen mussten neu aufgebaut werden.

Belohnung und weitere Korrekturen

OpenAI zahlte Hacktron am 1. September 2026 eine Prämie von 6.500 US-Dollar. Sie bezog sich auf die OpenAI-seitige Identitätslücke. Tests gegen das von Discourse betriebene Forum waren vom Prämienprogramm ausgeschlossen. Debian veröffentlichte am 8. August 2026 eine Sicherheitsaktualisierung für Debian 13, das zuvor libheif 1.19.8 enthielt.

Das umfassendere Forschungsprojekt HEIF Heist untersuchte die Verbreitung der Bildbibliothek libheif in verschiedener Software, dauerte zwei Monate und kostete weniger als 3.000 US-Dollar an Modellnutzung. Drei Forscher untersuchten dabei unter anderem Slack, Meta und GitHub Enterprise. Die Anpassung des Angriffs an ein weiteres Unternehmen benötigte gewöhnlich ein bis zwei Tage.