Meta deaktiviert Teilen-Funktion bei KI-Assistent Muse nach Sicherheitslücke
Sicherheitsforscher deckten auf, dass über 6.800 Muse-Chatverläufe aufgrund einer fehlerhaften DNS-Implementierung öffentlich zugänglich waren.
Meta hat die Funktion zum Teilen von Inhalten für den KI-Assistenten Muse vorübergehend ausgesetzt. Hintergrund ist ein Bericht des Sicherheitsteams Claroc, dem zufolge mehr als 6.800 geteilte Chat-Links über passive DNS-Abfragen auffindbar waren. Dies ermöglichte Außenstehenden den Zugriff auf sensible Informationen, ohne dass eine Anmeldung bei Meta erforderlich war.
Das Problem entstand durch die Struktur der generierten URLs: Muse bettete den Titel des jeweiligen Gesprächs in die Subdomain ein, wodurch diese Adressen in DNS-Protokollen gespeichert wurden. In der Stichprobe der Forscher befanden sich unter anderem vertrauliche Firmendokumente, Finanzdaten und interne Meeting-Unterlagen. Die Schwachstelle lag nicht in der Identifizierung der Links, sondern in deren einfacher Auffindbarkeit durch DNS-Datenbanken.
Meta hat die betroffenen Seiten in der Zwischenzeit gesperrt. Das Unternehmen prüft nun Anpassungen, um die Auffindbarkeit geteilter Inhalte künftig zu verhindern. Experten betonen, dass die Deaktivierung der Funktion zwar den aktuellen Zugriff unterbindet, die bereits in historischen DNS-Datenbanken erfassten Hostnamen jedoch weiterhin bestehen bleiben.