Meta oprește partajul de chat-uri în Muse după ce un bug a expus datele utilizatorilor

Cum a fost descoperit bug-ul?

Platforma de inteligență artificială Muse, lansată recent de Meta, a fost forțată să oprească funcția de partaj a conversațiilor după ce o vulnerabilitate de securitate a expus datele utilizatorilor oricui dorea să le acceseze.

Echipa de cercetători de la firma de securitate Claroc a descoperit că link-urile generate pentru partajul chat-urilor puteau fi descoperite prin căutare pasivă în registrul DNS, deoarece toate URL-urile foloseau același domeniu și includeau titlul conversației în subdomeniul. Această structură permitea oricui să găsească și să deschidă acele link-uri fără a fi autentificat.

Într-un post pe blog, Claroc a explicat că fiecare adresă web pentru partaj este numită după titlul conversației și este înregistrată în DNS-ul public.

Ce date au fost expuse?

O căutare simplă și pasivă în DNS a returnat mii de astfel de link-uri, listate ca un index de conversații.

Cercetătorii au reușit să numerească 6.800 de link-uri către chat-uri partajate în Muse și au putut vedea informații private din utilizări atât profesionale, cât și personale ale serviciului.

Meta a oprit partajul conversațiilor după ce un bug a expus datele utilizatorilor!

Printre detaliile expuse s-au numărat programări pentru întâlniri cu un laborator de IA de top, o cerere de împrumut pentru o mică afacere, o alertă de fraudă bancară care includea detalii parțiale ale contului, calendarul de vacanțe al unei companii și alte documente interne ale companiei. Prima mențiune publică a acestei vulnerabilități a fost făcută de publicația Ars Technica, care a raportat eforturile echipei Claroc.

Într-o declarație către acea publicație, Meta a declarat că a oprit această funcționalitate în timp ce examina raportul și evalua modificări în modul în care aceste link-uri puteau fi descoperite.

În plus, Claroc a punctat că după actualizarea de la Meta, cercetătorii nu mai puteau deschide o probă de link-uri la care au avut acces anterior, confirmând astfel că măsura de suspendare a fost aplicată cu succes pentru a închide gaura de securitate.