1. Een kwetsbaarheid, genaamd HEIF Heist, is ontdekt in software decoderingshulpmiddelen die gebruikt worden door grote internetplatforms, zakelijke diensten en webframeworks. Deze kwetsbaarheid maakt geheugen corrupteerfouten mogelijk en kan leiden tot gegevensdiefstal en externe toegang.
2. De aanval maakt gebruik van de manier waarop code-parsingtools in populaire software decoders, specifiek libheif en libde265, bepaalde afbeeldingsbestanden verwerken. Door HEIF, HEIC en AVIF afbeeldingsbestanden met kwaadaardige code te uploaden, kunnen aanvallers veel verdedigingen van de applicatielaag omzeilen.
3. HEIF Heist maakt geheugen corrupteerfouten mogelijk, waardoor aanvallers gevoelige gegevens van slachtoffers kunnen stelen. Zelfs zonder externe code-uitvoering kan de aanval leiden tot het lekken van geheugengegevens, zoals gegevens van andere gebruikers en omgevingsvariabelen.
4. Potentiële schade omvat toegang tot interne OpenAI repositories, het lekken van gebruikersbestanden, toegangstokens en andere gevoelige data van diensten zoals Amazon Web Services, en het verkrijgen van externe code-uitvoeringsprivileges voor diensten zoals Meta's kernproducten, GitHub Enterprise servers en Discourse. Een aanvaller die HEIF Heist exploiteert, kon toegang krijgen tot meer dan alleen OpenAI-systemen en gegevens.
5. In één incident kon het aan elkaar koppelen van twee kwetsbaarheden, waaronder een fout in de afbeeldingsparser, accounts van OpenAI-medewerkers compromitteren. Met toegang tot gecompromitteerde accounts konden onderzoekers interne repositories van OpenAI bereiken en als proof-of-concept een pull request openen in de "monorepo" met de Codex-inloggegevens van de medewerker. Gebruikers of OpenAI-medewerkers die inlogden op het helpforum van OpenAI konden hun ChatGPT- en Codex-accounts laten overnemen, wat theoretisch toegang gaf tot GitHub, Slack en e-mails, omdat verschillende diensten kunnen worden gekoppeld aan Codex en ChatGPT.
6. De kwetsbaarheid werd op 25 juli 2026 ontdekt en binnen enkele dagen gepatcht. Het gehele proces van ontdekking tot toegang tot repositories duurde minder dan 72 uur. OpenAI heeft een bug bounty van $6.500 betaald voor dit werk.
7. Hoewel de nieuwste versie van libheif is gepatcht, zijn systemen die de nieuwste beveiligingspatches missen potentieel kwetsbaar.
8. De gevonden aanvalspaden waren niet eenvoudig of efficiënt te exploiteren en vereisten het identificeren van de doelversie en het op maat maken van de payloads. Soms waren duizenden afbeeldingsuploads nodig om externe code-uitvoering te bereiken.
9. Een gemotiveerde aanvaller kan een kwetsbaar upload-eindpunt omzetten in externe code-uitvoering of een informatielek.
10. Onderzoekers gebruikten AI-systemen, waaronder modellen van OpenAI en Anthropic, voor hun onderzoek. Een AI-agentische aanpak met een model als GPT-5.6 Sol kan de ontwikkelingstijd voor exploits verkorten tot ongeveer 1 tot 3 dagen.