tl;dv, l’assistant IA pour les réunions, expose 180 000 réunions : espionnage en direct possible

Le chercheur BobDaHacker a documenté une grave lacune dans le contrôle d’accès de tl;dv (Too Long; Didn’t View), l’assistant IA qui enregistre et transcrit les appels vidéo. Le backend de l’application, basé sur Google Cloud Firestore, laisse la collection « meetings » sans isolation de tenant : tout utilisateur authentifié peut interroger les métadonnées de toutes les réunions où tl;dv est actif. BobDaHacker a ensuite démontré qu’avec ces métadonnées, il est possible de rejoindre l’appel en se faisant passer pour le bot lui-même. Le test a réussi dans 80 % des tentatives. L’information a été rendue publique le 4 août 2026. Le fournisseur n’a pas encore répondu et la faille reste active.

Le database Firestore sans règles : une porte ouverte

tl;dv utilise Firebase comme backend pour stocker les informations relatives aux réunions. La collection « meetings » contient les identifiants, horaires et données d’accès de chaque appel vidéo où le bot est présent ou programmé. Normalement, les règles de sécurité Firestore devraient restreindre l’accès aux seuls utilisateurs appartenant à une organisation, en isolant les tenants. Dans ce cas, aucune règle n’a été appliquée : un utilisateur authentifié quelconque peut énumérer la collection sans restriction et lire les métadonnées de chaque réunion. De là, le passage à l’accès à la réunion est rapide.

BobDaHacker a reconstitué le mécanisme d’auto-composition du bot et a montré comment un attaquant peut utiliser les jetons d’invitation contenus dans les métadonnées pour se faire reconnaître comme tl;dv lui-même. Le système de contrôle de la réunion accepte le faux bot et autorise l’entrée dans 80 % des appels testés. La méthode fonctionne sur Zoom, Google Meet et Microsoft Teams, les plateformes avec lesquelles tl;dv s’intègre. Nul besoin d’un exploit complexe : quelques appels API et l’absence de règles Firestore suffisent.

180 000 réunions, 80 000 utilisateurs, 23 gouvernements impliqués

L’analyse des métadonnées a révélé l’ampleur du problème. BobDaHacker a trouvé plus de 180 000 enregistrements d’appels terminés, appartenant à plus de 80 000 utilisateurs. Les domaines impliqués incluent des adresses .gov de 23 pays différents, signalant la présence de tl;dv dans des réunions d’administrations publiques. L’échantillon compte également de grandes entreprises comme HubSpot et Mitsui Fudosan, et des universités telles que UC Berkeley et l’Université de Tokyo. Il ne s’agit pas de réunions de test : les métadonnées décrivent des réunions de travail réelles, avec dates, participants et plateformes.

Les transcriptions et enregistrements ne seraient pas directement exposés via cette vulnérabilité. Mais l’intrusion en temps réel dans un appel permet d’écouter des conversations confidentielles, de collecter des informations propriétaires et, dans certains cas, d’intercepter des échanges classifiés. La possibilité d’énumérer systématiquement les réunions permet en outre à un attaquant de cibler des profils de haut niveau, en se concentrant sur les utilisateurs gouvernementaux ou d’entreprise.

Aucune réponse du fournisseur, les utilisateurs seuls

Le chercheur a contacté tl;dv avant la divulgation publique, mais l’entreprise n’a fourni aucune réponse. Au 4 août 2026, la faille est toujours active. Les dépôts publics de l’application ne montrent aucune mise à jour des règles de sécurité, et aucun correctif n’a été diffusé.

Pour ceux qui utilisent tl;dv, la seule protection immédiate consiste à désactiver l’entrée automatique du bot dans les appels, au moins jusqu’à ce qu’un correctif officiel soit disponible. Il est également utile d’examiner les journaux de réunions pour repérer d’éventuels participants non autorisés, en prêtant attention aux apparitions de l’assistant IA à des horaires suspects. Du côté du fournisseur, l’atténuation est simple : appliquer les règles Firestore qui limitent les lectures de la collection « meetings » aux seuls utilisateurs de l’organisation concernée. Une intervention qui aurait dû faire partie de la configuration de base.