Исследователь безопасности Патрик Уордл обнаружил уязвимость в приложении Meta Muse* (принадлежит Meta, признанной экстремистской и запрещённой в РФ)
Она позволяет вредоносному коду, уже запущенному на компьютере пользователя, перенаправить голосовые команды Muse* на сервер злоумышленника и получить доступ к возможностям ассистента.
Проблема связана со скрытой настройкой Muse*, отвечающей за адрес сервера для обработки голосового ввода. Изменить её может обычный локальный процесс без дополнительных системных разрешений.
После подмены адреса злоумышленник может перехватывать продиктованные пользователем запросы, изменять их и получать данные авторизации Muse*. В результате атакующий потенциально получает те же возможности, которые пользователь ранее разрешил самому ассистенту.
Это чувствительная уязвимость, так как в зависимости от настроек приложение может работать с файлами, почтой, сообщениями, календарём, камерой, микрофоном и другими данными пользователя.
Уордл опубликовал proof-of-concept под названием not-a-mused, демонстрирующий эксплуатацию проблемы. При этом уязвимость не позволяет удалённо взломать Mac сама по себе: атакующему сначала необходимо добиться запуска кода на устройстве пользователя.
Meta** сообщила, что выпустила исправление для приложения Muse* на Mac. Компания также подчеркнула, что речь идёт о локальной атаке, а не об удалённом эксплойте.
Meta* разрешила использовать чужие фото из Instagram* для генерации ИИ-изображений без спроса
Публичные аккаунты Instagram* по умолчанию стали референсами для ИИ-модели Muse Image — отказаться можно только вручную.
Meta* отключила функцию, которая позволяла использовать чужие фото из Instagram* для генерации ИИ-изображений без спроса
Meta* убрала новую функцию на основе модели Muse Image*, которая позволяла пользователям создавать ИИ-изображения на основе публикаций из открытых аккаунтов Instagram*.
* Принадлежит Meta, признанной экстремистской и запрещённой в РФ
** Meta — организация, признанная экстремистской и запрещённой в РФ
Комментарии