У Meta Muse* нашли тысячи доступных через DNS ссылок с конфиденциальными данными
Кодик кратко объясняет суть статьи
Исследователи Claroc выявили уязвимость в сервисе Muse*, позволяющую массово находить расшаренные документы через базы passive DNS. Среди более 6800 обнаруженных ссылок оказались файлы с финансовыми и корпоративными данными, включая заявку на кредит, отчёты о выручке и уведомления о мошенничестве. Проблема возникла из-за структуры ссылок, включавших название документа и случайный идентификатор в поддомене. Компания Meta**, уведомлённая 8 октября, временно отключила функцию шаринга и исправила ошибку 22 октября, заменив старые ссылки. Несмотря на отсутствие признаков злоупотреблений, исследователи подчеркнули ограниченность полученных результатов и указали на возможность существования большего числа уязвимых ссылок. * принадлежит Meta, признанной экстремистской и запрещённой в РФ ** Meta — организация, признанная экстремистской и запрещённой в РФ
Читайте в Telegram
|
Исследователи Claroc обнаружили, что ссылки на расшаренные материалы из ИИ-ассистента Muse* можно было массово находить через базы passive DNS.
Одним запросом им удалось обнаружить более 6800 адресов, среди которых встречались документы с финансовыми и корпоративными данными. Meta** уже исправила проблему.
- Причина заключалась в структуре ссылок. Muse* включал название расшаренного материала и случайный идентификатор прямо в имя поддомена.
- Когда кто-то открывал такую страницу, полный адрес мог попадать в базы passive DNS, где затем становился доступен для поиска. При этом сам случайный идентификатор был достаточно длинным и не подбирался перебором.
- После фильтрации посторонних записей Claroc обнаружила более 6800 таких адресов и вручную проверила несколько сотен страниц.
Большинство не содержали ничего чувствительного, однако среди них нашлись заявка на кредит, внутренний отчёт о выручке, данные о недвижимости, уведомление о банковском мошенничестве и график отпусков сотрудников. Для открытия проверенных страниц аккаунт Meta** не требовался.
Исследователи сообщили Meta** о проблеме 8 октября. Позже компания временно отключила функцию шаринга, а 22 октября объявила об исправлении и вернула её обратно. Старые ссылки были заменены новыми и больше не открывают прежний контент.
При этом Meta** отдельно уточнила, что проблема касалась именно расшаренных артефактов, например документов и изображений, а не функции публикации обычных чатов. Claroc описывает найденные страницы шире и указывает, что среди них были материалы, созданные на основе разговоров с ассистентом.
Исследователи не нашли доказательств того, что кто-то использовал обнаруженные ссылки во вред пользователям. Они также подчёркивают, что 6800 адресов не отражают полный масштаб проблемы: это лишь результаты одного способа поиска через один сервис passive DNS.
* принадлежит Meta, признанной экстремистской и запрещённой в РФ.
** Meta — организация, признанная экстремистской и запрещённой в РФ
