Ciddi Güvenlik Hataları, Milyonlarca Android Cihazını Riske Atıyor

Kısa süre önce, Android işletim sistemlerine hizmet veren bir mobil çerçevede, milyonlarca insanı riske atan birkaç yüksek önem düzeyine sahip güvenlik açığı keşfedildi.

Geçen yıl Eylül ayında kusurları keşfeden Microsoft 365 Defender Araştırma Ekibi, bunların hedef cihazlara ciddi saldırılar başlatmak için kullanılmış olabileceğini ve bunun da veri hırsızlığı ve kısmi cihaz ele geçirme ile sonuçlanabileceğini söylüyor.

Yeni bir blog gönderisine göre bunlar, Microsoft “mce Systems’in sahip olduğu ve birden fazla büyük mobil hizmet sağlayıcısı tarafından önceden yüklenmiş Android Sistemi uygulamalarında kullanılan ve kullanıcıları potansiyel olarak uzaktan veya yerel saldırılar”.

Güvenlik açıkları CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 ve CVE-2021-42601 olarak izleniyor ve önem puanları 10 üzerinden 7,0 ile 8,9 arasında değişiyor.

Cihazı devralmak

Microsoft, bulgularını daha da detaylandırarak, mobil çerçevenin “düşmanların kalıcı bir arka kapı yerleştirmesine veya cihaz üzerinde önemli kontrol sahibi olmasına izin vermek” için kullanılabilecek bir hizmet içerdiğini söyledi.

Şirket, hem mce Systems’ı hem de etkilenen mobil hizmet sağlayıcılarını bilgilendirdi ve bir düzeltme üzerinde çalışmak için onlarla birlikte çalıştı. Blog, tüm güvenlik açıklarının artık ele alındığını belirtiyor.

Microsoft, “Mce Systems’in etkilenen sağlayıcılara acil bir çerçeve güncellemesi göndermesini ve sorunlar için düzeltmeler yayınlamasını içeren bu güvenlik açıklarını azaltmak için mce Systems’in güvenlik ve mühendislik ekipleriyle yakın bir şekilde çalıştık” dedi. Bu güvenlik açıklarının vahşi doğada istismar edildiğine dair herhangi bir işaret bildirilmedi”.

Google ayrıca saldırı vektörlerini örtmek için Play Protect hizmetini güncelleyerek devreye girdi.

Microsoft, vahşi doğada kusurların istismar edildiğine dair bir kanıt olmadığını söylese de insanların uç noktalarına savunmasız uygulamalar yüklemiş olabilecek “birkaç cep telefonu tamir atölyesi” de dahil olmak üzere kusurdan etkilenen daha fazla keşfedilmemiş sağlayıcı olabileceğini ekledi.