Onderzoeker vindt met ChatGPT kwetsbaarheden in Chrome en Safari
Een beveiligingsonderzoeker heeft met behulp van ChatGPT kwetsbaarheden in Apple Safari en Google Chrome gevonden, wat hem 28.000 dollar aan beloningen opleverde. Onderzoeker Igor Sak-Sakovskiy van securitybedrijf Positive Technologies deed onderzoek naar de eXtensible Stylesheet Language (XSL) waarmee het mogelijk is om data op te halen en aan te passen.
In plaats van de documentatie over XSL te lezen besloot hij via ChatGPT voorbeelden te genereren voor het achterhalen van de locatie en uitlezen van lokale bestanden. Sak-Sakovskiy wijzigde één van de voorbeelden die de chatbot had gegenereerd en ontdekte dat hij ermee toegang tot het /etc/hosts-bestand op zijn iPhone kon krijgen. Ook /etc/hosts en /etc/passwd bleken toegankelijk te zijn. In het geval van Chrome op Android kon de inhoud van /etc/hosts worden uitgelezen.
De onderzoeker waarschuwde Apple en Google, die vervolgens met updates voor de browsers kwamen. De techbedrijven beloonden Sak-Sakovskiy voor zijn melding met respectievelijk een bedrag van 25.000 en 3.000 dollar. De kwetsbaarheid wordt wel gemeld op de website van Google (CVE-2023-4357), maar is nog niet op de site van Apple (CVE-2023-40415) te vinden.
Het wordt anders als je het ook kan aanpassen. Dat lees ik niet voor Chrome op Android. Iphone is onduidelijk, het staat er niet expliciet.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!