Meta Muse suspenderer deling af links
Sikkerhedsforskere fandt 6.800 delte Muse-samtaler via almindelig DNS-søgning. Meta har nu sat delingsfunktionen i bero.
En enkelt DNS-søgning åbnede tusindvis af links
Når en Muse-bruger delte en samtale, oprettede systemet et link, som alle med adressen kunne åbne. Men link-adresserne viste sig at være mulige at finde frem, uden at nogen havde givet dem videre.
Forskerne fra sikkerhedsfirmaet Claroc brugte passive DNS-registreringer — historiske opslag, der lagres, når computere opløser domænenavne — til at samle adresserne. Alle delte Muse-links bruger samme domæne: cf.metaaiusercontent.com. Et enkelt søgeopslag rakte til at hente 6.800 delte samtaler frem.
- Antal delte Muse-samtaler, som Claroc-forskerne kunne enumerere via DNS-søgning
- 6.800 links
- Dato for Asaf Aprozpors indberetning via Metas bug bounty-program
- 8. oktober
Samtale-navnet i adressen gjorde links synlige
Den afgørende designfejl var, at navnet på samtalen blev skrevet direkte ind i web-adressens subdomæne — det led, der står før selve domænet — i stedet for i adressens bagvedliggende sti. Det betød, at DNS-registreringerne indeholdt læsbare titler som «home-sale-budget» og «q3-revenue-review».
«Hvad der gør Muse-links lette at finde, er titlen siddende i web-adressen, hvor offentlige DNS-registreringer gør den søgbar for alle,» skrev Claroc. Firmaet kalder fænomenet GhostShares: sider, der åbner for folk, der aldrig har modtaget linket.
Forskeren fik intet svar fra Meta
Clarocs medstifter og teknologidirektør Asaf Aprozper indberettede fundet via Metas bug bounty-program — et system, hvor forskere rapporterer sikkerhedshuller — den 8. oktober. Han forsøgte også at kontakte Meta-folk via LinkedIn.
Der kom intet svar nogen af steder fra. Først da Ars Technica stillede spørgsmål, reagerede Meta. I en e-mail bekræftede selskabet, at delingsfunktionen nu er sat i bero, mens rapporten gennemgås.
Meta havde lovet privatsikkerhed fra starten
Meta-direktør Mark Zuckerberg sagde sidste måned, at Muse var «bygget fra bunden af til privatliv og sikkerhed». Assistenterne kan selv udfylde formularer, booke tider, foretage køb og oprette dokumenter — og kræver derfor adgang til brugerens konti.
Allerede tre uger efter lanceringen fandt macOS-sikkerhedseksperten Patrick Wardle et zero-day-sårbarhed, der lod enhver anden app på samme enhed overtage kontrol med brugerens Muse-konto. Meta nedtonede alvoren og hævdede, at angreb krævede, at enheden i forvejen var kompromitteret.
Deling er stoppet — indtil videre
Med Metas suspendering af delingsfunktionen er den konkrete risiko for uautoriseret adgang til delte samtaler midlertidigt lukket. Firmaet overvejer nu ændringer i, hvordan linkene kan opdages.
Fundet rejser et bredere spørgsmål, skrev Ars Technica: om Muse er den tillid værd, som den omfattende konto-adgang forudsætter.
Flere detaljer
- Claroc åbnede et par hundrede af de 6.800 links og fandt åbenbart ikke-offentlige oplysninger.
- Forskerne skrev, at indsamlingen tog ét søgeopslag — ikke reelt arbejde.
- Alle delte Muse-links bruger domænet cf.metaaiusercontent.com.
- Meta kalder deling for en funktion, hvor brugeren selv deler et artefakt med dem, der har linket.
- Muse nåede hurtigt en af de øverste placeringer i Apples App Store.
Kilder:
Ars Technica AI →
Genfortalt i egne ord af AI-nyheder.com · AI-genereret illustration · Tjek altid originalkilden, før du handler på vigtige oplysninger.