Sicherheitsforscher findet Zero-Day in Metas Muse für macOS

Patrick Wardle, Gründer der Objective-See Foundation und in der macOS-Sicherheitsszene seit Jahren einschlägig bekannt, hat am 21. September eine offene Lücke in der Mac-Version von Metas Assistenten Muse öffentlich gemacht. Über einen Thread auf X, samt funktionierendem Exploit-Code auf GitHub unter dem Namen „not-a-mused“.

Technisch geht es um eine undokumentierte Konfigurationseinstellung namens endo_voyager_dictation_endpoint. Muse legt sie offen, und jeder lokale Prozess kann sie ohne erhöhte Rechte ändern.

Wer den Wert umbiegt, leitet den Diktat-Traffic von Muse auf einen eigenen Server um. Damit lassen sich diktierte Inhalte mitschneiden, per Prompt Injection eigene Anweisungen einschleusen und Authentifizierungstoken abgreifen.

Ein wichtiger Vorbehalt gehört dazu: Fernausnutzbar ist die Lücke nicht. Der Angreifer muss bereits Code im Kontext des angemeldeten Nutzers ausführen können, also über klassische Schadsoftware oder Social Engineering auf dem Rechner sitzen.

Genau daran hängt Wardles eigentliches Argument, das er „Access Amplification“ nennt. Gewöhnliche Schadsoftware scheitert an den Datenschutzkontrollen von macOS. Über Muse kann sie sich die weitreichenden Rechte des Agenten borgen: Dateien, Mikrofon, Kamera, Standort, Kalender, dazu verknüpfte iOS-Geräte.

Eine CVE-Nummer gibt es nicht, und ob Meta vor der Veröffentlichung informiert wurde, geht aus den Berichten nicht hervor. Ein Patch ist zum Stand 22. September ebenfalls nicht dokumentiert. Wardle kündigt weitere Details und zusätzliche Bugs für die Konferenz „Objective by the Sea“ im November an.

Es ist die zweite Agenten-Lücke binnen zwei Tagen, nach Plugin4Shell in vier Coding-Agenten. Der Assistent, der im August als Metas Code-Offensive startete, steht damit an zwei Fronten gleichzeitig: Hier der Proof of Concept eines Sicherheitsforschers, dort die Aussperrung durch Amazon. Meta äußert sich zu keiner der beiden Sachen.