Un difetto di progettazione nei link di condivisione espone le conversazioni personali degli utenti con il Muse di Meta
wired ·
I ricercatori della sicurezza di Claroc hanno scoperto un significativo difetto di progettazione nell'assistente AI di Meta, Muse, che consentiva loro di enumerare e accedere facilmente alle conversazioni sensibili degli utenti. La vulnerabilità derivava dal modo in cui venivano costruiti i link di condivisione, in particolare inserendo i titoli delle conversazioni nel sottodominio degli URL ospitati su cf.metaaiusercontent.com. Questa struttura rendeva i link scopribili tramite ricerche DNS passive, esponendo dati privati come domande di prestito, report finanziari e programmi personali. In risposta a queste scoperte, Meta ha sospeso la funzione di condivisione mentre esamina il problema e valuta le modifiche necessarie. Questo incidente segue altre recenti preoccupazioni per la sicurezza di Muse, tra cui una vulnerabilità zero-day segnalata da Patrick Wardle che avrebbe potuto consentire l'hijacking dell'account. Sebbene Meta pubblicizzi Muse come costruito con privacy e sicurezza in mente, questo difetto evidenzia i rischi associati alla sua profonda integrazione negli account degli utenti. L'azienda ha dichiarato che il programma bug bounty ha facilitato la scoperta di questa problematica, spingendo alla sospensione immediata della funzionalità.
wired