Microsoft, Milyarlarca İndirilen Android Uygulamalarında Büyük Bir Güvenlik Kusuru ‘Kirli Akış’ Buldu

Microsoft, geçen hafta birden fazla Android uygulamasında, cihazdaki uygulamalara ve hassas verilere yetkisiz erişim sağlamak için kullanılabilecek büyük bir güvenlik açığı keşfetti. İlginç bir şekilde, bu güvenlik kusuru sistem kodlarından değil, belirli bir sistemin geliştiriciler tarafından uygunsuz kullanımından kaynaklanmaktadır ve bu durum istismara açık boşluklara yol açabilmektedir. Özellikle kusur Google’a vurgulandı ve teknoloji devi, Android uygulama geliştirici topluluğunun sorundan haberdar olmasını sağlamak için adımlar attı.

İçinde postalamak Microsoft Tehdit İstihbaratı ekibi, Güvenlik Blogunda şunları belirtti: “Microsoft, birçok popüler Android uygulamasında, kötü amaçlı bir uygulamanın, güvenlik açığı bulunan uygulamanın ana dizinindeki dosyaların üzerine yazmasına olanak tanıyan, yol geçişiyle bağlantılı bir güvenlik açığı modeli keşfetti.” Araştırmacılar ayrıca güvenlik açığının Google Play Store’da toplam dört milyardan fazla kuruluma sahip çeşitli uygulamalarda tespit edildiğini de vurguladı.

Bu güvenlik açığı, bir geliştiricinin, cihazdaki farklı uygulamalar arasında veri alışverişini güvence altına almak için tasarlanmış Android içerik sağlayıcı sistemini yanlış kullanması durumunda ortaya çıkıyor. Buna veri izolasyonu, URI izinleri, yol doğrulama ve uygulamaların veya uygulamaya izinsiz giren herhangi birinin yetkisiz erişimini durdurmaya yönelik diğer güvenlik önlemleri dahildir. Ancak sistemin yanlış uygulanması, özel amaçlar adı verilen bir bileşeni etkiler. Bunlar, farklı uygulamalar arasında iki yönlü iletişimi sağlayan mesajlaşma nesneleridir. Bu güvenlik açığı mevcut olduğunda uygulamalar güvenlik önlemlerini göz ardı edebilir ve diğer uygulamaların (veya onları kontrol eden bilgisayar korsanlarının) kendilerinde depolanan hassas verilere erişmesine izin verebilir.

Cihaza bir saldırı olması durumunda, bilgisayar korsanları yalnızca bir uygulamaya erişerek bu güvenlik açığını manipüle edebilir, bu açığı içeren tüm uygulamalara girebilirler. Bu, kötü niyetli kişilerin cihaz üzerinde tam kontrol sahibi olmalarına veya finansal bilgiler de dahil olmak üzere hassas verileri çalmalarına olanak tanır. Güvenlik açığı özellikle Xiaomi Dosya Yöneticisi ve WPS Office uygulamalarında bulundu. Microsoft, raporunda her iki uygulamanın arkasındaki geliştiricilerin sorunu araştırdığını ve düzelttiğini belirtti.

Google da konuyu dikkate aldı ve bir rapor yayınladı. postalamak Android Geliştiricileri blogunda. Şirket, yaygın hataları ve bunları düzeltmenin yollarını vurguladı. Etkilenen uygulamaların geliştiricilerinin önümüzdeki günlerde sorunları çözerek bir düzeltme yayınlaması bekleniyor. Son kullanıcıların bu güvenlik açığından kaçınmak için fazla bir şey yapmaları mümkün olmasa da, cihazlarındaki uygulamaları güncelleme konusunda proaktif kalmaları ve bir süre üçüncü taraf kaynaklardan uygulama indirmekten kaçınmaları öneriliyor.