OpenAI-Forum als Einfallstor: Forscher kompromittieren interne Repositories

Das Security-Team HacktronAI hat im Juli 2026 zwei kritische Schwachstellen zu einer vollständigen Account-Übernahme verkettet — mit Zugriff auf interne OpenAI-Repositories als Folge. Der komplette Weg von der Entdeckung bis zum Repo-Zugriff dauerte weniger als 72 Stunden.

Die Exploit-Kette

Angreifer mussten OpenAI gar nicht direkt attackieren. Stattdessen:

• Ein Heap-Overflow im Bild-Decoder libheif, den Debian ohne das entscheidende Security-Backport auslieferte
• ImageMagick nutzt libheif, Discourse-Foren verarbeiten Uploads über ImageMagick
• Ergo: Remote Code Execution plus Admin-Zugriff auf community.openai.com, das offizielle OpenAI-Forum
• Ein Identitätsfehler im OpenAI-SSO machte aus dem Forum-Zugang schließlich Vollzugriff auf ChatGPT- und Codex-Konten von Mitarbeitern
• Über die verbundene GitHub-Integration waren dann interne Repos inklusive des Monorepos openai/openai erreichbar

Als Proof-of-Concept öffnete das Team per Codex eines Mitarbeiters einen harmlosen PR im internen Monorepo. Betroffen war theoretisch jeder, der sich im Forum einloggte — samt Connectors zu GitHub, Slack und E-Mail.

Reaktion und Belohnung

OpenAI fixte den SSO-Fehler rund 14 Stunden nach dem Report und zahlte 6.500 Dollar Bounty. Bemerkenswert: Die Forscher nutzten Claude-Modelle zur Unterstützung der Analyse. Ein Lehrstück darüber, wie Supply-Chain-Schwachstellen in scheinbar nebensächlichen Diensten ganze KI-Plattformen gefährden.

Quelle: hacktron.ai