Microsoft, milyonlarca Android kullanıcısını etkileyen EngageLab SDK’daki kritik güvenlik açığını duyurdu. Özel verilere yetkisiz erişim riski bulunuyor.
Yaygın olarak kullanılan üçüncü taraf bir Android yazılım geliştirme kiti (SDK) olan EngageLab SDK’da kritik bir güvenlik açığı tespit edildi. Microsoft Defender Güvenlik Araştırma Ekibi tarafından yayınlanan rapora göre, bu kusur aynı cihazdaki uygulamaların Android güvenlik korumalı alanını aşarak özel verilere yetkisiz erişim sağlamasına olanak tanıyor.
Microsoft, bu SDK’yı kullanan uygulamaların önemli bir kısmının kripto para ve dijital cüzdan ekosisteminin bir parçası olduğunu belirtti. Etkilenen cüzdan uygulamalarının 30 milyondan fazla kurulumu bulunurken, cüzdan dışı uygulamalarla birlikte bu sayı 50 milyonu aşıyor. Google Play Store, SDK’nın savunmasız sürümlerini kullanan tüm uygulamaları kaldırdı. EngageLab ise Kasım 2025’te yayınladığı 5.2.1 sürümüyle güvenlik açığını giderdi.
SDK’nın 4.5.4 sürümünde tespit edilen sorun, ‘niyet yönlendirme’ (intent redirection) güvenlik açığı olarak tanımlandı. Android’de ‘niyetler’, başka bir uygulama bileşeninden eylem talep etmek için kullanılan mesajlaşma nesneleridir. Saldırganlar, kötü amaçlı bir uygulama aracılığıyla bu güvenlik açığından faydalanarak SDK’nın entegre olduğu uygulamalarla ilişkili dahili dizinlere erişebilir ve hassas verilere ulaşabilir.
Güvenlik açığının kötü amaçlı bir bağlamda kullanıldığına dair bir kanıt bulunmuyor. Ancak Microsoft, SDK’yı entegre eden geliştiricileri en kısa sürede en son sürüme güncellemeleri konusunda uyardı. Bu durum, üçüncü taraf SDK’lardaki zayıflıkların büyük ölçekli güvenlik etkilerine yol açabileceğini gösteriyor.
Yorum Yap