Google’a göre Proje Sıfır (aracılığıyla 9’a 5 Google) güvenlik analistleri ekibi, milyonlarca Android cep telefonu CVE-2022-33917 olarak bilinen yama uygulanmamış bir güvenlik açığına karşı savunmasızdır. CVE’nin açılımı Yaygın Güvenlik Açıkları ve Açıklar ve her CVE numarası belirli bir kusuru ifade eder. Yukarıda belirtilen CVE, ARM’nin Mali GPU’su ile donatılmış Android cihazları etkileyen bir güvenlik açığıdır. Bu, Google Pixel ve Samsung Galaxy cep telefonlarının, diğer birçok üretici tarafından üretilen Android akıllı telefonlarla birlikte etkilendiği anlamına gelir.
Yama dağıtılana kadar, saldırganlar potansiyel olarak kusurdan yararlanabilir. Google, bunun saldırganların “sisteme geri döndükten sonra fiziksel sayfaları okumaya ve yazmaya devam etmesine” izin vereceğini söylüyor. Ayrıca şirket, “çekirdeği bu sayfaları sayfa tabloları olarak yeniden kullanmaya zorlayarak, bir uygulama bağlamında yerel kod yürütmeye sahip bir saldırgan, Android’in izin modelini atlayarak ve kullanıcı verilerine geniş erişim sağlayarak sisteme tam erişim elde edebilir.”

ARM sözde güvenlik açığını düzeltti, ancak şu anda henüz yama yapılmadı

Project Zero, ARM’ye güvenlik açıkları hakkında bilgi verdiğini ve ARM’nin bu yılın Temmuz ve Ağustos aylarında sorunları “hemen” düzelttiğini belirtiyor. ARM, kusura CVE-2022-33917 numarasını atadı. Ancak Google daha sonra “Mali’yi kullanan tüm test cihazlarımızın bu sorunlara karşı hâlâ savunmasız olduğunu buldu. CVE-2022-36449’dan herhangi bir alt güvenlik bülteninde bahsedilmiyor.” Başka bir deyişle, Google’ın kendi Pixel ekibi olan Samsung, Oppo ve Xiaomi tarafından yapılan cihazlara hiçbir zaman yama uygulanmadı ve hala bu istismar edilebilir güvenlik açığı bulunuyor.

Risk altındaki telefonların, Snapdragon yonga seti ile çalışan cihazları ortadan kaldıran bir Mali GPU’ya sahip olduğunu unutmayın. Ancak, Google Tensor, Exynos veya MediaTek yongalarını kullanan telefonların yamalanması gerekir. İyi haber şu ki, Google “önümüzdeki haftalarda” yayınlanması beklenen bir yamayı test ediyor. Android cihazlar oluşturan telefon üreticilerinin de bunu dahil etmesi gerekecek.

Google’ın açıklamasında, “Arm tarafından sağlanan düzeltme şu anda Android ve Pixel cihazlar için test ediliyor ve önümüzdeki haftalarda teslim edilecek. Gelecekteki SPL gereksinimlerine uymak için Android OEM iş ortaklarının yamayı alması gerekecek.”

Google, satıcılara bu kusurları derhal kapatmaları gerektiğini söyler

Ve Google’ın gelecekte benzer bir olayın ortaya çıkmasını önlemeye çalışan Android satıcıları için de bilgece sözleri var. Şirket, tıpkı Android kullanıcılarının güvenlik güncellemelerini alır almaz indirmeleri gerektiği gibi, satıcıların yazılım kusurlarını düzeltme sorumluluğuna sahip olduğunu açıkça belirtiyor.
“Güvenlik güncellemelerini içeren bir sürüm çıktığında kullanıcılara ellerinden geldiğince çabuk yama yapmaları önerildiği gibi, aynı şey satıcılar ve şirketler için de geçerli. Google, “kullanıcılar (veya aşağı akıştaki diğer satıcılar), yamanın güvenlik avantajlarından yararlanmadan önce bu eylemi engelliyor” diye yazdı.

Arama devi, “Şirketlerin uyanık kalması, yukarı akış kaynaklarını yakından takip etmesi ve kullanıcılara mümkün olan en kısa sürede eksiksiz yamalar sağlamak için ellerinden gelenin en iyisini yapması gerektiğini” ekledi.

Google, güvenlik açığının herhangi bir saldırgan tarafından kullanıldığını söylemedi, ancak şimdilik, belirli Android telefonlardaki kişisel verileri çalmak için kullanılabilecek bir kusur olmaya devam ediyor. Güncelleme geldiğinde – Google yakında geleceğini söyledi – risk altında bir Android telefonunuz varsa, güncellemeyi hemen yükleyin. PhoneArena’da telefonunuzun teknik özelliklerine bakarak ve cihazdaki GPU üreticisini kontrol ederek cihazınızın savunmasız olup olmadığını hızlı bir şekilde belirleyebilirsiniz.

Bir ARM Mali grafik işlem birimine (GPU) sahip olduğunuzu gösteriyorsa, cihazınız risk altındadır. Yama dağıtıldığında bu hikayeyi güncelleyeceğimiz için kontrol etmeye devam edin.



telefon-1