Yakın zamanda Android’e hizmet veren bir mobil çerçevede birkaç yüksek önem düzeyine sahip güvenlik açığı keşfedildi. (yeni sekmede açılır) işletim sistemleri, milyonlarca insanı riske atıyor.
Geçen yıl Eylül ayında kusurları keşfeden Microsoft 365 Defender Araştırma Ekibi, bunların hedef cihazlara ciddi saldırılar başlatmak için kullanılmış olabileceğini ve bunun da veri hırsızlığı ve kısmi cihaz ele geçirme ile sonuçlanabileceğini söylüyor.
Yeni bir blog gönderisine göre (yeni sekmede açılır)Microsoft “yüksek önemdeki güvenlik açıklarını ortaya çıkardı (yeni sekmede açılır) mce Systems’e ait olan ve kullanıcıları uzaktan (karmaşık da olsa) veya yerel saldırılara maruz bırakan önceden yüklenmiş Android Sistemi uygulamalarında birden fazla büyük mobil hizmet sağlayıcısı tarafından kullanılan bir mobil çerçevede”.
Güvenlik açıkları CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 ve CVE-2021-42601 olarak izleniyor ve önem puanları 10 üzerinden 7,0 ile 8,9 arasında değişiyor.
cihazı devralmak
Microsoft, bulgularını daha da detaylandırarak, mobil çerçevenin “düşmanların kalıcı bir arka kapı yerleştirmesine veya cihaz üzerinde önemli kontrol sahibi olmasına izin vermek” için kullanılabilecek bir hizmet içerdiğini söyledi.
Şirket, hem mce Systems’ı hem de etkilenen mobil hizmet sağlayıcılarını (bazıları “uluslararası” olan) bilgilendirdi ve bir düzeltme üzerinde çalışmak için onlarla birlikte çalıştı. Blog, tüm güvenlik açıklarının artık ele alındığını belirtiyor.
Microsoft, “Mce Systems’in etkilenen sağlayıcılara acil bir çerçeve güncellemesi göndermesini ve sorunlar için düzeltmeler yayınlamasını içeren bu güvenlik açıklarını azaltmak için mce Systems’in güvenlik ve mühendislik ekipleriyle yakın bir şekilde çalıştık” dedi. Bu güvenlik açıklarının vahşi doğada istismar edildiğine dair herhangi bir işaret bildirilmedi”.
Google ayrıca saldırı vektörlerini örtmek için Play Protect hizmetini güncelleyerek devreye girdi.
Microsoft, vahşi doğada kusurların istismar edildiğine dair bir kanıt olmadığını söylese de, insanların uç noktalarına savunmasız uygulamalar yüklemiş olabilecek “birkaç cep telefonu tamir atölyesi” de dahil olmak üzere kusurdan etkilenen daha keşfedilmemiş sağlayıcılar olabileceğini de ekledi. (yeni sekmede açılır).
