Upload HEIF: RCE no decodificador nativo seguido de um pivô de confiança SSO

Upload HEIF: RCE no decodificador nativo seguido de um pivô de confiança SSO

A Hacktron encadeou duas falhas separadas para passar de uma conta com privilégios baixos no fórum público Discourse da OpenAI para acesso de escrita em um repositório interno do GitHub. Um upload HEIF manipulado resultou em RCE através do libheif; uma falha SSO separada transformou o controle do fórum em tomada de sessão do ChatGPT/Codex.

O Discourse não tratava HEIC/HEIF com seu parser principal FastImage. O pipeline de upload passava o arquivo para o ImageMagick, que carregava o libheif 1.19.7 da imagem Debian 12. O upstream já havia alterado a lógica de sobreposição vulnerável, mas o commit não rotulado nunca chegou ao pacote downstream.

Para um deslocamento de sobreposição negativo, um valor com sinal entrava na aritmética de limites sem sinal, corrompendo o tamanho da região e levando loops de cópia para fora dos buffers de heap. A Hacktron adaptou a primitiva de leitura/escrita OOB para ASLR, x86-64 e jemalloc, e então obteve RCE no ambiente do fórum.

Uma falha separada de identidade SSO da OpenAI transformou o comprometimento do fórum em tomada de sessão do ChatGPT/Codex. Uma conta de funcionário tinha um conector GitHub, e os pesquisadores usaram seu Codex para criar o PR #1186742 no monorepo interno como prova mínima de acesso de escrita.

A imagem malformada, o exploit e o rastro SSO não são públicos. O Discourse também mapeia o RCE para CVE-2026-32882, enquanto o upstream atribui esse ID a um bug somente leitura distinto; a falha com capacidade de escrita da Hacktron não tem CVE separado.

Artigo: https://www.hacktron.ai/blog/hacking-openai