Microsoft güvenlik araştırmacıları, birden fazla büyük uluslararası mobil servis sağlayıcıdan Android uygulamaları tarafından kullanılan bir çerçevede yüksek şiddet güvenlik açıkları buldu.
Araştırmacılar, kullanıcıları komuta enjeksiyonu ve özel yükseltme saldırısı için gösteren bir mobil çerçevede bu güvenlik açıklarını (CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 ve CVE-2021-42601 olarak izlendi) .
Savunmasız uygulamalar, Google'ın Play Store'da milyonlarca indirmeye sahiptir ve AT&T, Telus, Rogers Communications, Bell Canada ve Freedom Mobile dahil olmak üzere etkilenen telekomünikasyon operatörlerinden satın alınan cihazlarda sistem uygulamaları olarak önceden yüklenir.
Güvenlik araştırmacıları Jonathan Bar'a veya Microsoft 365 Defender'dan Sang Shin Jung, Michael Peck, Joe Mansour ve Apurva Kumar'a göre, "Uygulamalar cihazların sistem görüntüsüne, telefon sağlayıcıları tarafından yüklenen varsayılan uygulamalar olduğunu öne sürdü". Araştırma takımı.
"Tüm uygulamalar Google Play Protect'in otomatik güvenlik kontrollerinden geçtikleri Google Play Store'da mevcuttur, ancak bu kontroller daha önce bu tür sorunları taramamıştır.
"Çoğu Android cihazın bu günlerde geldiği önceden yüklenmiş veya varsayılan uygulamaların çoğunda olduğu gibi, etkilenen uygulamaların bazıları cihaza kök erişimi kazanmadan tamamen kaldırılamaz veya devre dışı bırakılamaz."
Satıcılar Microsoft, güvenlik kusurları bugün müşterilerini saldırılardan korumak için açıklanmadan önce hataları ele almak için uygulamalarını zaten güncellemiş olsa da, diğer telcos uygulamaları da aynı Buggy çerçevesini kullanıyor.
Araştırmacılar, "Diğer bazı mobil servis sağlayıcıları, ilgili uygulamalarıyla savunmasız çerçeve kullanılarak bulundu, bu da hala keşfedilmemiş ek sağlayıcıların olabileceğini düşündürdü."
Microsoft, bir Android uygulaması (com.mce.mceiotraceagent paket adı ile) "birkaç cep telefonu tamir mağazası tarafından" yüklenirse, bazı Android cihazların bu kusurları kötüye kullanmaya çalışan saldırılara da maruz kalabileceğini de sözlerine ekledi.
Bu uygulamayı cihazlarına yüklü bulanların saldırı vektörünü kaldırmak için hemen telefonlarından çıkarmaları tavsiye edilir.
Araştırmacılar, "Milyonlarca indirme ile uygulamaları etkileyen güvenlik açıkları, ilgili tüm taraflar tarafından düzeltildi." Dedi.
"Önceden yüklenen uygulamaların sahip olduğu kapsamlı sistem ayrıcalıklarıyla birleştiğinde, bu güvenlik açıkları saldırganların sistem yapılandırmasına ve hassas bilgilere erişmeleri için saldırı vektörleri olabilir."
Microsoft, BleepingComputer bugün daha önce ulaştığında etkilenen uygulamaların ve mobil sağlayıcıların tam listesini paylaşma talebine cevap vermedi.
CISA, siber saldırılarda kullanılan hataların listesine 41 güvenlik açığı ekler
Microsoft Mayıs 2022 Patch Salı 3 sıfır gün, 75 kusur düzeltiyor
Google, aktif olarak sömürülen Android Çekirdek Güvenlik Açığı
Microsoft, kullanıcı veritabanlarını açığa çıkaran Extrareplica Azure hatalarını düzeltiyor
Kritik Windows RPC CVE-2022-26809 Kusur Endişeleri Yetiştiriyor-Şimdi Yama
Kaynak: Bleeping Computer