ChatGPT SSRF漏洞迅速成为热门攻击向量（含PoC视频）
内容提要
网络安全公司Veriti报告称，攻击者利用ChatGPT中的SSRF漏洞（CVE-2024-27564）对美国金融和政府机构发起攻击。该漏洞源于pictureproxy.php文件的url参数验证不足，攻击者可注入URL发起任意请求。Veriti在一周内观察到超过1万次攻击尝试，主要针对美国政府机构。报告警示，忽视中等严重性漏洞可能导致严重后果，安全团队应重视所有漏洞。
关键要点
-
网络安全公司Veriti报告称，攻击者利用ChatGPT中的SSRF漏洞（CVE-2024-27564）对美国金融和政府机构发起攻击。
-
该漏洞存在于pictureproxy.php文件中，攻击者可以通过url参数注入URL，触发任意请求。
-
漏洞的根本原因是url参数验证不足，攻击者利用file_get_contents函数使服务器发出任意请求。
-
Veriti在一周内观察到超过1万次攻击尝试，主要针对美国政府机构。
-
报告指出，忽视中等严重性的漏洞可能导致严重后果，安全团队应重视所有漏洞。
延伸问答
ChatGPT中的SSRF漏洞是什么？
ChatGPT中的SSRF漏洞（CVE-2024-27564）是由于pictureproxy.php文件的url参数验证不足，攻击者可以注入URL并发起任意请求。
攻击者如何利用这个漏洞？
攻击者通过向url参数注入精心构造的URL，利用file_get_contents函数使服务器发出任意请求，从而触发SSRF漏洞。
Veriti观察到多少次攻击尝试？
Veriti在一周内观察到超过1万次攻击尝试，主要针对美国的政府机构。
这个漏洞主要影响哪些机构？
该漏洞主要影响美国的金融和政府机构，同时也波及德国、泰国、印度尼西亚、哥伦比亚和英国的金融和医疗保健公司。
为什么忽视中等严重性漏洞是个错误？
忽视中等严重性漏洞可能导致严重后果，攻击者会利用任何可用的漏洞，尤其是对于高价值的金融机构。
如何防范此类攻击？
安全团队应重视所有漏洞，确保url参数的充分验证，并正确配置入侵防御系统和Web应用防火墙。
