OpenAI-Monorepo über libheif- und SSO-Lücken erreicht

Drei Forscher von Hacktron verketteten zwei unscheinbare Fehler zu Zugriff auf das interne Code-Repository von OpenAI und veröffentlichten, wie das gelang. Die Kette begann mit einer Bilddatei, die in OpenAIs öffentliches Hilfeforum hochgeladen wurde. Sie endete mit einem Pull Request im privaten Monorepo des Unternehmens, weniger als 72 Stunden nach Beginn der Arbeit.

Keiner der Fehler war exotisch. Der erste war ein Heap-Buffer-Overflow in libheif, der Bibliothek, die HEIF- und HEIC-Bilder dekodiert, also das Format, das ein iPhone standardmäßig erzeugt. Der zweite war eine Single-Sign-on-Einstellung, die dem Forum zu viel vertraute. Der Bericht von Hacktron beschreibt die Kombination als eigentlichen Fund, nicht eine der beiden Hälften.

Wie die Kette funktionierte

OpenAIs Community-Forum läuft auf Discourse, einer weit verbreiteten Diskussionsplattform. Discourse reichte hochgeladene Bilder an ImageMagick weiter, das wiederum libheif aufrief. Auf dem betroffenen Server, der Debian 12 nutzte, fehlte libheif ein Sicherheits-Backport. Ein präpariertes Bild genügte daher, um Code auf dem Forum auszuführen.

Der zweite Schritt machte aus einem Forum-Fehler ein Unternehmensproblem. Das Forum nutzte OpenAIs eigenes Identitätssystem für die Anmeldung, sodass eine Sitzung dort auch anderswo Gewicht hatte. "Jeder Nutzer oder OpenAI-Mitarbeiter, der sich in OpenAIs eigenem Hilfeforum (community.openai.com) anmeldet, hätte die Übernahme seiner ChatGPT- und Codex-Konten erleben können", schrieb das Hacktron-Team.

Mit einem Mitarbeiterkonto unter ihrer Kontrolle wiesen die Forscher den Codex-Agenten dieses Mitarbeiters an, einen Pull Request im internen Repository von OpenAI zu öffnen. Das war der Nachweis, und dort hörten sie auf. VentureBeat berichtete am 17. September 2026, dass Hacktron die Grenze klar zog: "Die Konto-Eskalation war keine Discourse-Schwachstelle, sondern ein Identitätsproblem bei OpenAI."

Zeitleiste und Prämie

Ereignis	Detail
Entdeckung	23. Juli 2026
Meldung bis bestätigter Fix	Rund 14 Stunden
Schweregrad der Discourse-Lücke	CVSS 8.8, am Tag der Meldung gepatcht
Identitäts-Fix bei OpenAI bestätigt	25. Juli 2026, 22:49 UTC
Prämie	6.500 Dollar, ausgezahlt über Bugcrowd

Angriffe auf Discourse selbst lagen außerhalb des Geltungsbereichs von OpenAIs Bug-Bounty-Programm. Die Zahlung galt dem Identitätsfund, also jenem, der in OpenAIs eigene Systeme reichte.

Der KI-Aspekt, sorgfältig benannt

Hacktron sagt, die Exploit-Arbeit sei mit Anthropics Claude Opus 5 erfolgt, veröffentlicht am 24. Juli 2026, und ein früheres Modell habe sich an derselben Aufgabe schwergetan. Das Team beziffert die gesamten Token-Kosten auf unter 3.000 Dollar. "Arbeit, die einst ein gut ausgestattetes Team und Monate an Aufwand erforderte, lässt sich nun in Tage komprimieren", heißt es im Bericht.

Diese Aussage verdient die Einschränkung, die die Forscher selbst nahelegen. Ein Modell verkürzte den Schritt des Exploit-Schreibens. Eine ungepatchte Bibliothek in einem Forum zu finden, und zu bemerken, dass dieses Forum denselben Identitätsanbieter nutzt wie Produktivkonten, ist Aufklärung und Urteilsvermögen. Tech AI Wire berichtete bereits über verwandte Fälle, darunter OpenAI-Agenten, die RubyGems angriffen, in einem nicht offengelegten Test.

Was das für Entwickler bedeutet

Prüfen Sie Ihre Vertrauensgrenzen vor Ihren Abhängigkeiten. Die Frage ist einfach: Wenn jemand ein Konto auf Ihrem unwichtigsten Dienst übernimmt, was öffnet dieses Konto sonst noch? Ein Community-Forum, eine Statusseite oder ein Merchandise-Shop sollte keinen Anmeldepfad mit der Produktion teilen. Tut er es, erbt das Forum den Schadensradius der Produktion.

Prüfen Sie dann die Version, nicht den Paketnamen. Der libheif-Fehler war upstream bereits bekannt und behoben. Die Angriffsfläche entstand durch ein Distributions-Image, das den Backport nicht übernommen hatte. Alles, was auf Ihren Servern nicht vertrauenswürdige Medien dekodiert, gehört in ein Inventar mit einer verantwortlichen Person für Patches. Bildverarbeitung gehört besonders in eine Sandbox oder einen eigenen Dienst.

Behandeln Sie schließlich Agenten-Zugangsdaten wie Produktions-Zugangsdaten. Ein Assistent mit Schreibrechten am Repository ist ein Konto, das Code committen kann. Er verdient dieselbe Prüfung, dieselbe Einschränkung und denselben Widerrufsweg wie das Token eines menschlichen Entwicklers. Diese Geschichte endet genau deshalb in einem Pull Request, weil der Agent einen öffnen konnte.