Meta hat eine Sicherheitslücke in Muse behoben, über die ein Angreifer möglicherweise in die einem einzelnen Nutzer zugewiesene virtuelle Maschine hätte eindringen können. Das berichtete Reuters in einer am 25 September von ETCISO veröffentlichten Meldung. Ein Sicherheitsforscher entdeckte die Schwachstelle und meldete sie über Metas Bug-Bounty-Programm. Meta stufte sie als SEV-2 ein, die zweithöchste Stufe seiner Schweregradskala.
Wie viel auf dem Spiel stand, ergibt sich aus dem Aufbau von Muse. Jedes Konto erhält eine Muse Secure VM – einen Cloud-Rechner, auf dem der Agent läuft und Kopien aller E-Mails und Dateien speichert, die der Nutzer verknüpft. Ein Zugang zu dieser Maschine hätte daher Zugriff auf einen großen Teil des digitalen Lebens des Nutzers ermöglicht, zumindest auf die Bereiche, die er mit dem Agenten verbunden hatte.
Meta nutzte die Behebung auch zum Anlass, die Sicherheitshinweise in der Muse-App verständlicher zu formulieren. Im Bericht stand nicht, ob die Schwachstelle ausgenutzt worden war. Die Offenlegung erfolgte in einem schwierigen Monat für den Agenten: Zuvor hatte er bereits den Zugang zum Amazon-Shop verloren; drei Tage später wurde berichtet, er habe die Privatadresse eines Nutzers weitergegeben.
Aktualisieren Sie die Muse-App und achten Sie auf ihre Warnhinweise. Verknüpfen Sie ein Konto nur dann, wenn eine konkrete Aufgabe es tatsächlich erfordert – jedes weitere Konto vergrößert die Menge an Informationen, die eine einzelne Schwachstelle preisgeben könnte.