Meta suspend le partage de conversations sur Muse suite à une faille de sécurité
Des chercheurs ont découvert plus de 6 800 journaux de discussion accessibles publiquement en raison d'une indexation via des requêtes DNS.
Meta a suspendu la fonction de partage de son assistant IA Muse après la révélation d'une vulnérabilité par l'équipe de recherche Claroc. Plus de 6 800 pages de partage ont été identifiées comme accessibles sans authentification via des services de DNS passif, exposant des données sensibles, allant de documents financiers à des informations confidentielles d'entreprises.
La faille provenait de la méthode de génération des URL de partage de Muse, qui intégrait le titre de la discussion dans le sous-domaine. Ces adresses étaient ainsi enregistrées par les serveurs DNS, permettant à des tiers de retrouver des échanges privés via des outils de recherche historique. L'enquête a confirmé l'exposition de données relatives à des demandes de prêts, des stratégies immobilières et des communications internes.
Après avoir été alerté via son programme de primes aux bugs, Meta a désactivé les pages concernées. L'entreprise procède actuellement à un examen approfondi pour limiter la visibilité des liens générés. Bien que l'accès direct aux contenus ait été coupé, les chercheurs soulignent que les noms de domaine restent inscrits dans les bases de données historiques du DNS.