ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA) bugün, Çinli bir e-ticaret uygulaması Pinduoduo tarafından kullanıcılarına casusluk için sıfır gün olarak sömürüldüğüne inanılan yüksek şiddetli bir Android güvenlik açığı konusunda uyardı.
Bu Android Framework Güvenlik Kususu (CVE-2023-20963 olarak izlenir), saldırganların kullanıcı etkileşimi gerektirmeden eşleştirilmemiş Android cihazlarda ayrıcalıkları artırmasına izin verir.
CISA, "Android Framework, bir uygulamayı ek yürütme ayrıcalıkları gerekmeden daha yüksek bir hedef SDK'ya güncelledikten sonra ayrıcalık artışına izin veren belirtilmemiş bir güvenlik açığı içeriyor."
Google, Mart ayı başlarında yayınlanan güvenlik güncellemelerindeki hatayı ele alarak "CVE-2023-20963'ün sınırlı, hedefli sömürü altında olabileceğine dair göstergeler var."
21 Mart'ta Google, Çinli çevrimiçi perakendeci dev Pinduoduo'nun resmi alışveriş uygulamasını (aylık 750 milyondan fazla aktif kullanıcıya sahip olduğunu iddia ediyor), uygulamanın açık sürümlerinde kötü amaçlı yazılımları keşfettikten sonra zararlı bir uygulama olarak etiketledikten sonra askıya aldı. ve kullanıcılara verileri veya cihazlarına "yetkisiz erişim" sağlayabileceği konusunda uyarır.
Günler sonra, Kaspersky araştırmacıları ayrıca, ayrıcalık artışı ve kullanıcılara casusluk yapmak için tasarlanmış ek modüllerin yüklenmesi için APP'nin Android güvenlik açıklarını (bunlardan biri CVE-2023-20963) kullanan sürümlerini bulduklarını açıkladı.
Kaspersky güvenlik araştırmacısı Igor Golovin Bloomberg'e verdiği demeçte, "Pinduoduo uygulamasının bazı sürümleri, ayrıcalıkları artırmak, bazıları kullanıcıların bildirimlerine ve dosyalarına erişim sağlayan ek kötü amaçlı modülleri indirmek ve yürütmek için bilinen Android güvenlik açıklarından yararlanan kötü amaçlı kod içeriyordu."
ABD Federal Sivil Yürütme Şube Ajansları (FCEB) ajansları, CISA tarafından Perşembe günü bilinen sömürülen güvenlik açıkları listesine CVE-2023-20963 kırılganlıklarına karşı cihazlarını güvence altına almak için 4 Mayıs'a kadar.
Kasım 2021'den itibaren bağlayıcı operasyonel direktife (BOD 22-01) göre, federal ajanslar CISA'nın KEV kataloğunda yer alan tüm güvenlik kusurları için ağlarını kontrol etmeli ve düzeltmelidir.
Katalog esas olarak ABD federal ajanslarına yönelik olsa bile, özel şirketlerin CISA kataloğundaki güvenlik açıklarını öncelikli olarak ele alması şiddetle tavsiye edilir.
ABD Siber Güvenlik Ajansı, "Bu tür güvenlik açıkları, kötü niyetli siber aktörler için sık sık saldırı vektörleridir ve federal işletme için önemli riskler oluşturmaktadır." Dedi.
Pazartesi günü, CISA ayrıca federal ajanslara, 1 Mayıs'a kadar sıfır gün olarak Wild'da sömürülen iki güvenlik açısına karşı iPhone ve Mac'lere yamalarını emretti.
CISA, Govt Ajanslarına 1 Mayıs'a kadar iPhone'ları, Mac'leri güncellemeyi sipariş ediyor
CISA, NATO ülkelerine yönelik saldırılarda sömürülen Zimbra böceği konusunda uyarıyor
CISA, ajanslara casus yazılımları bırakmak için sömürülen böcekleri yamaya sipariş eder
Cisa, sıfır gün olarak sömürülen Adobe Coldfusion Bug hakkında uyarıyor
Cisa, LastPass ihlalinden sonra aktif olarak sömürülen plex hatası konusunda uyarıyor
Kaynak: Bleeping Computer