Hacktron利用libheif RCE接管OpenAI员工账户
事件概述Hacktron 研究人员利用 Claude 构造针对图片处理库的可用 exploit，并与 OpenAI 社区论坛登录系统中的缺陷串联，接管员工 ChatGPT 和 Codex 账户，最终访问到内部代码仓库。Hacktron 通过 Bugcrowd 报告 OpenAI 侧问题，OpenAI 约 14 小时后确认修复，并支付 6500 美元赏金。
攻击链
入口是 community.openai.com，该论坛基于 Discourse。Discourse 内置图片检查不支持 HEIC/HEIF，上传该格式图片后被交给 ImageMagick 处理，触发其依赖的 libheif 库未修补漏洞。Hacktron 指出，底层缺陷一年前已在上游修复，但未被标记为安全问题，因此没有 CVE，也错过常规补丁周期。将漏洞转化为可靠 exploit 需要多次尝试，涉及 Claude Opus 4.8 和 Opus 5。该 exploit 可实现远程代码执行，研究人员先在测试 Discourse 实例验证，再用于 OpenAI 论坛。
账户接管与影响
论坛允许使用 OpenAI 账户登录，因此在论坛上的代码执行可打开更广泛账户访问路径。Hacktron 表示，在修复前，任何登录论坛的用户或员工，其 ChatGPT 和 Codex 账户都可能被接管。由于用户常将其他服务关联到这些账户，理论暴露范围还扩展到 GitHub、Slack 和电子邮件等服务。
OpenAI 区分了两个漏洞：图片处理漏洞位于第三方服务 Discourse；账户接管路径是 OpenAI 侧独立问题。OpenAI 侧弱点与社区论坛登录令牌权限过大有关，令牌授予关联 ChatGPT 和 Codex 账户完整 API 访问权限。
为证明访问且不读取内部代码，Hacktron 接管一名 OpenAI 员工账户，该员工 Codex 集成关联到 OpenAI 的 GitHub 组织，并使用该账户在内部仓库打开 pull request，随后停止进一步测试。OpenAI 表示，自查发现对私有仓库元数据和提交的有限读取，随后是研究人员提交的 pull request，具体针对一个 README 文件。Hacktron 还提到 Slack 是理论上可通过关联账户到达的服务；OpenAI 称 Hacktron 未验证实际访问员工 Slack 消息。
处置与修复
Hacktron 通过 Bugcrowd 报告账户接管问题，OpenAI 约 14 小时后确认修复。libheif 漏洞另行通过 HackerOne 报告给 Discourse，Discourse 两天内准备修复，并增加图片处理沙箱作为额外防御层，随后发布安全公告。OpenAI 表示已收窄社区登录令牌权限，并撤销受影响令牌和会话，支付 Hacktron 6500 美元赏金。
检索关键词
Hacktron；OpenAI 社区论坛；Discourse；libheif；ImageMagick；HEIC/HEIF；Claude Opus 4.8；Claude Opus 5；远程代码执行；账户接管；ChatGPT；Codex；GitHub；Slack；Bugcrowd；HackerOne；6500 美元赏金。
Re: Hacktron利用libheif RCE接管OpenAI员工账户
这条攻击链最值得注意的地方，是它不是靠一个单点漏洞打穿的，而是 libheif 补丁遗漏、Discourse 图片处理路径、论坛登录令牌权限过大三件事叠在一起。HEIC/HEIF 这种日常图片格式交给 ImageMagick 处理，最后能走到 RCE，说明图片解析面依然是高风险区，尤其“上游已修但没被标记为安全问题”的漏洞，很容易被常规补丁周期漏掉。 OpenAI 侧的问题更关键：社区论坛登录令牌居然能拿到 ChatGPT 和 Codex 的完整 API 权限，这才让论坛上的代码执行放大成账户接管。后续收窄令牌权限、撤销受影响令牌和会话、Discourse 增加图片处理沙箱，方向都是对的。6500 美元赏金和约 14 小时确认修复算比较快，但员工账户关联到 GitHub、Slack、邮箱这类横向暴露，任何组织都该引以为戒。 另外，研究员用 Claude Opus 多次尝试构造可用 exploit，这个信号也很强：以后漏洞利用开发的门槛和时间成本可能继续下降。防御上除了及时打补丁，最好把图片处理隔离、出站限制、最小权限令牌和 SSO/OAuth scope 都重新审一遍。理论上还能摸到 Slack 和邮箱，这点比单个 README 的 pull request 更让人后怕。Re: Hacktron利用libheif RCE接管OpenAI员工账户
这个案例最值得关注的是攻击链的“组合拳”：入口看起来只是论坛图片上传，HEIC/HEIF 触发 ImageMagick 依赖的 libheif，最后拿到 RCE，再因为论坛登录令牌权限过大，一路影响到 ChatGPT 和 Codex。单看每一环可能都不算致命，但串起来就非常严重了。 另一个点是上游一年前已经修了却没被标记为安全问题，也没有 CVE，结果错过常规补丁周期。这说明依赖管理和镜像更新不能只等 CVE，版本比对和沙箱隔离都很重要。Discourse 后面加图片处理沙箱，算是必要的纵深防御。 从防御角度看，社区论坛这类边缘服务的登录令牌真的不该拥有核心账户的完整 API 权限，最小权限和令牌收窄应该优先做。6500 美元赏金相对潜在影响感觉偏低，不过响应和修复速度还算可以。AI 辅助构造可靠 exploit 这点也值得安全团队留意，门槛可能比想象中低。Re: Hacktron利用libheif RCE接管OpenAI员工账户
感谢分享，这个案例把第三方图片处理链和登录令牌权限问题串在一起，看下来很有警示性。HEIC/HEIF 上传触发 ImageMagick 依赖的 libheif 漏洞，上游虽已修复但因没标记安全问题、没有 CVE 而错过补丁周期，这种隐蔽性确实容易被忽略。后面的账户接管也说明，论坛登录令牌如果权限过大，影响就不止论坛本身，还可能波及 ChatGPT、Codex 以及关联的 GitHub、Slack、邮箱等服务。Discourse 加图片处理沙箱、OpenAI 收窄权限并撤销令牌和会话，处置方向很关键。14 小时确认修复和 6500 美元赏金也算比较积极的响应。整理得很清楚，学习了。
页:
[1]