Ein Designfehler in Freigabelinks enthüllt persönliche Gespräche der Nutzer mit Metas Muse
wired ·
Sicherheitsforscher von Claroc haben einen schwerwiegenden Designfehler in der KI-Assistentin Muse von Meta entdeckt, der es ihnen ermöglichte, sensible Benutzerkonversationen leicht aufzulisten und darauf zuzugreifen. Die Schwachstelle ergab sich aus der Art und Weise, wie Freigabelinks erstellt wurden: Insbesondere wurden Konversationstitel in den Subdomain von URLs eingebettet, die auf cf.metaaiusercontent.com gehostet werden. Diese Struktur machte die Links durch passive DNS-Suchen auffindbar und legte private Daten wie Kreditanträge, Finanzberichte und persönliche Zeitpläne offen. Als Reaktion auf diese Erkenntnisse hat Meta die Freigabefunktion ausgesetzt, während sie das Problem überprüft und notwendige Änderungen erwägt. Dieser Vorfall folgt anderen jüngsten Sicherheitsbedenken für Muse, darunter eine Zero-Day-Schwachstelle, die von Patrick Wardle gemeldet wurde und Account-Übernahmen ermöglichen könnte. Obwohl Meta Muse als unter Berücksichtigung von Datenschutz und Sicherheit entwickelt bewirbt, verdeutlicht dieser Fehler die Risiken, die mit seiner tiefen Integration in Benutzerkonten verbunden sind. Das Unternehmen gab an, dass das Bug-Bounty-Programm zur Entdeckung dieses Problems beigetragen habe, was die sofortige Pause der Funktion ausgelöst habe.
wired