The Pulse
Meta ripristina la condivisione su Muse dopo aver sostituito i link agli artefatti
Meta ha ripristinato la condivisione nel suo assistente IA Muse dopo che i ricercatori di Claroc hanno individuato più di 6.800 nomi host usati per la condivisione tramite DNS passivo. L’azienda afferma che gli artefatti condivisi in preced
AI.info Team · Scritto con l’IA · verificato ·
Una singola ricerca nel DNS passivo condotta dalla società di sicurezza Claroc ha portato alla luce più di 6.800 nomi host usati per la condivisione su Muse. Il 22 ottobre Meta ha ripristinato la condivisione su Muse dopo aver disattivato temporaneamente la funzione, affermando di aver risolto il problema di fondo e sostituito gli URL degli artefatti condivisi prima della modifica.
David Singleton di Meta ha scritto in un post su X, citato da The Verge: «Il problema di fondo è stato risolto e la condivisione è di nuovo disponibile». Chi apre un vecchio link a un artefatto ora vede un avviso che lo invita a chiedere un link sostitutivo alla persona che lo ha condiviso. Meta si è scusata per il disagio, affermando che la protezione dei dati degli utenti doveva avere la precedenza.
Che cosa ha scoperto Claroc nei link di Muse
Il rapporto pubblicato da Claroc il 18 ottobre descriveva i contenuti condivisi su Muse come pagine apribili da chiunque avesse un link. I ricercatori hanno scoperto che i nomi host usati per la condivisione includevano il titolo della conversazione e venivano registrati nel DNS pubblico, dove una ricerca nel DNS passivo poteva farli emergere senza che chi effettuava la ricerca avesse prima ricevuto un link. Claroc ha dichiarato che la sua ricerca filtrata aveva restituito più di 6.800 nomi host; il suo team ne ha aperti solo poche centinaia.
La maggior parte delle pagine aperte dai ricercatori non aveva nulla di particolare, ha detto Claroc, ma alcune contenevano materiale personale o aziendale sensibile. Tra gli esempi figuravano una richiesta di prestito per una piccola impresa, un’analisi interna dei ricavi contrassegnata come destinata all’amministratore delegato di un’azienda e un calendario con le settimane di ferie dei dipendenti. Claroc ha dichiarato di non avere prove che qualcuno abbia fatto un uso improprio dei contenuti condivisi e di non poter stabilire se altri vi abbiano avuto accesso.
Meta distingue tra artefatti e chat
Meta descrive il problema come relativo ai link agli «artefatti» condivisi, anziché come un difetto nella condivisione delle chat. La sua pagina di assistenza su Muse definisce gli artefatti come elementi quali documenti, immagini, codice e applicazioni web. Il rapporto di Claroc, invece, parla di conversazioni condivise e afferma che i link esaminati potevano condurre a pagine contenenti materiale delle conversazioni.
La distinzione conta perché le due descrizioni inquadrano ciò che Meta afferma di aver risolto in modo diverso da quanto i ricercatori di Claroc sostengono di aver trovato. La spiegazione pubblica dell’azienda, citata da The Verge, identifica il problema negli URL degli artefatti; non fornisce dettagli tecnici su come vengono generati gli indirizzi sostitutivi. Le informazioni disponibili stabiliscono quindi che Meta ha cambiato i link, ma non descrivono la struttura degli URL alla base della soluzione.
I link sostitutivi non cancellano i dati DNS
La modifica di Meta significa che chi ha condiviso un artefatto prima della correzione deve inviare il nuovo URL a chiunque abbia ancora bisogno di accedervi. Non rimuove i vecchi nomi host dai dati storici del DNS passivo: Claroc ha detto che quei dati, compresi i titoli incorporati nei nomi host, erano rimasti anche dopo la precedente sospensione della condivisione. I ricercatori hanno inoltre precisato che la loro ricerca copriva un solo canale attraverso cui individuare i link e un breve periodo, non il numero totale dei contenuti condivisi né la durata dell’accessibilità di ciascuna pagina.
Meta ha sospeso la condivisione il 20 ottobre dopo che Ars Technica le aveva chiesto informazioni sulle scoperte di Claroc. Claroc ha detto di aver inviato il suo rapporto al programma bug bounty di Meta l’8 ottobre. I vecchi nomi host restano nella cronologia DNS, mentre non si sa ancora se vi siano stati accessi prima della correzione.