Une faille de conception dans les liens de partage expose les conversations personnelles des utilisateurs avec le Muse de Meta
wired ·
Des chercheurs en sécurité de Claroc ont découvert une faille de conception majeure dans l'assistant IA de Meta, Muse, qui leur a permis d'énumérer et d'accéder facilement à des conversations utilisateur sensibles. La vulnérabilité provenait de la manière dont les liens de partage étaient construits, plus précisément par l'intégration des titres de conversation dans le sous-domaine des URL hébergées sur cf.metaaiusercontent.com. Cette structure rendait les liens découvrables via des recherches DNS passives, exposant ainsi des données privées telles que des demandes de prêt, des rapports financiers et des agendas personnels. En réponse à ces constatations, Meta a suspendu la fonctionnalité de partage pendant qu'il examine le problème et envisage les modifications nécessaires. Cet incident fait suite à d'autres préoccupations récentes en matière de sécurité pour Muse, notamment une vulnérabilité zero-day signalée par Patrick Wardle qui aurait pu permettre le détournement de comptes. Bien que Meta commercialise Muse comme étant conçu avec la confidentialité et la sécurité à l'esprit, cette faille met en lumière les risques associés à son intégration profonde dans les comptes utilisateurs. L'entreprise a déclaré que le programme de prime pour bogues (bug bounty) avait facilité la découverte de ce problème, entraînant la suspension immédiate de la fonctionnalité.
wired