20 октября Meta* приостановила функцию общих ссылок в Muse, персональном ИИ-агенте компании. Решение последовало после запроса Ars Technica о результатах исследования Claroc.
Claroc сообщила о проблеме через программу поиска уязвимостей 8 октября, а 18 октября опубликовала отчёт. После приостановки функции исследователи повторно проверили 40 ранее доступных страниц: ни одна не открылась, при попытке загрузить их появлялась ошибка.
Страницы находили через DNS
Muse создавал страницу для общего доступа по просьбе пользователя. Любой человек, у которого была ссылка, мог открыть её без учётной записи и запроса доступа. Веб-адрес состоял из заголовка разговора и длинного случайного идентификатора, поэтому подобрать его перебором было практически невозможно.
Читайте также
Однако при открытии страницы браузер запрашивал её доменное имя. Сервисы пассивного DNS, сохраняющие историю таких запросов, могли записать доменное имя с идентификатором и читаемым заголовком. Одним запросом к коммерческой базе Claroc нашла более 6800 адресов после удаления технического шума. Ещё свыше 75 сохранённых результатов сканирования страниц находились в публичном сервисе urlscan.io.
Среди страниц были внутренние документы
Claroc открыла несколько сотен найденных страниц. Большинство содержало сайты небольших компаний, объявления и календари мероприятий. В меньшей части выборки исследователи обнаружили десятки персональных записей и внутренних рабочих документов.
Среди примеров были заявка владельца бизнеса на кредит, обзор выручки для руководителя компании, банковское предупреждение о возможном мошенничестве с частью номера счёта, финансовые показатели объектов недвижимости, календарь отпусков сотрудников и заметки кандидата для конфиденциального разговора о найме.
6800 — число найденных адресов, тогда как исследователи просмотрели лишь несколько сотен страниц. Claroc не обнаружила доказательств использования этих сведений во вред. До приостановки функции страницы могли находить и люди, которым пользователи не отправляли ссылки.
* Деятельность Meta признана экстремистской и запрещена в РФ