Meta suspende compartilhamento do Muse após 6.800 links expostos
Pesquisadores acharam que títulos de conversa ficaram no hostname de links compartilhados, tornando-os descobríveis por serviços de DNS passivo e expondo conteúdo sensível.
A empresa de segurança Claroc informou à Meta em 8 de outubro que conseguiu reconstruir mais de 6.800 links de compartilhamento do Muse consultando dados de DNS passivo, informação que reportagem confirmou nesta terça-feira.
Claroc e repórteres que abriram uma amostra desses links encontraram páginas com pedidos de empréstimo, análises internas de receitas, calendários de férias de funcionários e outros materiais que pareciam privados.
A Meta suspendeu o recurso de compartilhamento de conversas do Muse enquanto revisa como os links são construídos e como podem ser descobertos; um novo teste da Claroc mostrou que páginas anteriormente acessíveis agora retornam erro.
A exposição ocorreu porque o Muse colocou títulos de conversa legíveis por humanos no hostname em cf.metaaiusercontent.com, de modo que os registros de DNS passivo armazenaram nomes descritivos junto com identificadores.
A descoberta preocupa porque o Muse vem escalando para mais de 10 milhões de usuários e adicionando recursos de compras e conectores. O caso intensifica a atenção sobre design de permissões, ações de agentes autônomos, confiança de parceiros e as salvaguardas de runtime que a Meta planeja implementar.