Milyonlarca kişinin kullandığı mobil uygulamadaki güvenlik zafiyetine dikkat

Privia Security milyonları bulan kullanıcı sayısına sahip olan uygulamadaki güvenlik zafiyeti konusunda uyarıda bulunurken, Windows Uac Bileşenindeki Güvenlik Açığı, Sdk'ların Sosyal Medya Verilerine Erişmesi, Monero Kripto Para Platformunun Hacklenmesi gibi kritik zafiyetlere karşı kullanıcıları uyarıyor.

Windows UAC Bileşeninde Güvenlik Zafiyeti 

Windows Certificate Dialog  üzerinde hak ve yetki yükseltme zafiyeti bulundu. CVE-2019-1388 kodlu bu güvenlik açığı, UAC(User Account Control) bileşeni aracılığı ile exploit edilmektedir ve saldırgan kişilerin sistem içerisine program yükleme, sistem içerisinden yüklü olan programı silme ve sistemdeki programı değiştirme gücü veriyor. 

Privia Security Whatsapp’daki Casus Yazılım Riski Konusunda Uyarıyor

Windows, bütün UAC istemcilerine varsayılan olarak Secure Desktop adında ayrı bir masaüstü göstermektedir. UAC tamamen çalışır durumda iken, yönetici yetkisine sahip olan interaktif kullanıcılar normalde en düşük hak ve yetkiye sahiptirler. Hiçbir yetkiye sahip olmayan kullanıcı örneğin bir uygulama çalıştırmak istediği takdirde UAC devreye girer ve yönetici şifresi ister. 

Zafiyet ise UAC arayüzünde bulunan “Show details” bölümündeki sertifika iletişim kutusunda, uygulamaya ait sertifikayı sunan kuruluşun sitesinin hyperlink’inin gösterilmesinden kaynaklanıyor.

Güvenlik zafiyetinden etkilenmemek için Microsoft'un yayınladığı güncellemelerin yüklenmesi gerekiyor. 

Konu ile ilgili açıklama yapan Privia Security’in Kurucusu Eyüp Çelik, “Privia Security olarak siber güvenlik sektörüne her anlamda farklılık getirmek istiyoruz. Bu doğrultuda sunduğumuz hizmetler, verdiğimiz eğitimler, geliştirdiğimiz siber güvenlik ürünlerinin yanında hazırladığımız siber güvenlik bültenleri ile de hem sektörümüzü hem de vatandaşları bilgilendirmeyi şirketimiz için bir görev olarak belirledik. Çünkü siber güvenlik ile ilgili konular artık sadece kurumları değil son kullanıcıyı da kullandıkları her cihaz ya da uygulamayla sonuna kadar ilgilendirmekte, bu sebepten dolayı artık herkes çok dikkatli hareket etmeli ve bizim gibi bu işe gönül vermiş tüm firmalar da kurumları ve halkı anlık olarak bilgilendirmeli.” dedi.

SDK'lar Sosyal Medya Verilerine Erişiyor

Yüz binlerce Android uygulamasının entegre ettiği iki adet third-party SDK’nın (Software Development Kit), akıllı telefon kullanıcılarının entegre ettikleri sosyal medya hesaplarına ait verileri yetkisi olmadığı halde erişim sağladığı tespit edildi. 

Twitter, 25 Kasımda yayınladığı bir blog yazısında OneAudience tarafından geliştirilen bir SDK'nın, bazı kullanıcıların özel verilerini OneAudience sunucularına iletmiş olabileceğini ve gizliliği ihlal eden bir bileşene sahip olduğunu tespit etti. Twitter'ın yaptığı bu bilgilendirmenin ardından Facebook, farklı bir şirket olan Mobiburn tarafınca geliştirilen bir SDK'dan dolayı, bazı Android uygulamalarıyla bağlantılı olarak Facebook kullanıcılarını veri toplama şirketlerine maruz bırakmış olabilecekleri hakkında bir bildiri yayınladı. Bu durumun sonrasında OneAudience, SDK'nın kısa süre içerisnde kapatıldığını ilan etti. Ve verilerin hiçbir zaman toplanma niyetinin amaçlanmadığını, veritabanına eklenmediğini ve kullanılmadığını ifade etti. Twitter, Google’ı ve Apple’ı zararlı SDK’lar ile ilgili bilgilendirdi ve kullanıcıları üçüncü taraf uygulama mağazalarından herhangi bir yükleme yapmaktan kaçınmaları gerektiği konusunda ikaz etti. Facebook ve Twitter, bu sorundan etkilenmiş olabilecek kullanıcılarını bilgilendirmeyi planlıyorlar.

Monero Kripto Para Platformu Hacklendi

Monera kullanıcıları, Monera web sitesi üzerinden yüklenen binary dosyalarının hash değerlerinde sorun tespit ettiler. Monero yöneticileri ise bu sorun hakkında yasal soruşturma başlattıklarını bildirdi. Ayrıca yöneticiler, binary dosyalarının kontrolünü yapmalarını, eğer bir olumsuzluk varsa bu dosyaları en kısa sürede silmelerini ve yeniden indirme işlemini yapmalarını tavsiye ettiler.

Outlook Uygulamasında Güvenlik Zafiyeti

Microsoft Outlook Android uygulaması içerisinde yeni bir güvenlik açığı tespit eidldi. CVE-2019-1460 adını alan bu açık, Android Outlook uygulamasının özel olarak hazırlanmış e-posta iletilerini düzgün bir biçimde parse edememiş olmasından kaynaklanıyor. Saldırgan kişiler bu tür bir e-posta yollayarak XSS saldırılarını gerçekleştirebilirler ve kurban tarafında script çalıştırabilirler. 

Microsoft tarafınca yapılan açıklamaya göre, saldırının gerçekleşmesi için saldırgan ve mağdur kişinin aynı ağ üzerinde olmaları gerekmektedir. 

Saldırılardan etkilenmemek için en kısa sürede Outlook uygulamasının son sürüme güncelleştirilmesi gerekmektedir.