Meta, ajan tabanlı YZ platformu Muse‘u geçen ay kullanıma sundu ve hata avcıları şimdiden bir gizlilik sorununu ortaya çıkardı. Kullanıcılar bir URL oluşturarak Muse sohbetlerini paylaşabiliyordu ancak araştırmacıların bu bağlantılara herhangi birinin erişebileceğini keşfetmesinin ardından özellik devre dışı bırakıldı.
Güvenlik şirketi Claroc bünyesindeki araştırmacılar, paylaşılan tüm URL’lerin aynı alan adını taşıması ve alt alan adında sohbet başlığını kullanması nedeniyle, kullanıcıların paylaştığı Muse sohbet bağlantılarının pasif bir DNS aramasıyla bulunup erişilebildiğini keşfetti. Pasif DNS kayıtları, insanların okuyabildiği alan adlarının tarayıcıların okuyabildiği IP adreslerine nasıl dönüştüğünü gösteriyor ve temelde internet için bir telefon rehberi işlevi görüyor.
Claroc bir blog yazısında şöyle açıkladı: “Muse, paylaşılan her web adresini sohbetin kendi başlığına göre adlandırıyor ve bu adres genel DNS kayıtlarına yazılıyor. Tek bir pasif DNS araması, bir içindekiler tablosu gibi ada göre listelenmiş binlercesini geri getiriyor.”
Şirket, paylaşılan Muse sohbetlerine ait 6.800 bağlantıyı listelemeyi başardı ve hizmetin hem ticari hem de kişisel kullanımlarına ait özel bilgileri görüntüledi. Açığa çıkan kişisel ayrıntılar arasında öncü bir YZ laboratuvarı ile yapılan toplantı saatleri, küçük bir işletmenin kredi başvurusu, kısmi hesap bilgileri içeren bir banka dolandırıcılık uyarısı, bir şirketin izin takvimi ve diğer kurum içi şirket belgeleri var.
Claroc’un bu çalışmasını ilk olarak Ars Technica haberleştirdi. Yayına açıklamada bulunan Meta, “Bu raporu incelerken ve bu bağlantıların nasıl keşfedilebileceğine yönelik değişiklikleri değerlendirirken bu işlevi duraklattık.” dedi. Claroc ayrıca, Meta’nın güncellemesinin ardından araştırmacılarının daha önce eriştikleri bağlantılardan oluşan bir örneklemi artık açamadığını belirtti.
Kaynak: https://www.engadget.com/2292281/meta-suspends-muse-chats-sharing-feature-after-it-left-private-details-exposed/
