Microsoft, EngageLab SDK’daki Kritik Android Güvenlik Açığını Ortaya Çıkardı
Microsoft, EngageLab SDK’da tespit ettiği güvenlik açığının Android uygulamalarını nasıl etkilediğini açıkladı. Milyonlarca cihaz risk altındaydı.
Microsoft Defender Güvenlik Araştırma Ekibi, yaygın kullanılan EngageLab SDK’da kritik bir güvenlik açığı tespit etti. Bu “niyet yönlendirme” kusuru, Android güvenlik korumalı alanını atlayarak uygulamaların özel verilere yetkisiz erişim sağlamasına olanak tanıdı. Güvenlik açığı, 50 milyondan fazla kurulumu olan Android uygulamalarını etkiledi ve EngageLab, Kasım 2025’te 5.2.1 sürümüyle bu sorunu giderdi.
The Hacker News’te yer alan rapora göre, Microsoft, etkilenen uygulamaların önemli bir kısmının kripto para ve dijital cüzdan ekosistemine ait olduğunu belirtti. Bu cüzdan uygulamalarının 30 milyondan fazla kuruluma sahip olduğu, cüzdan dışı uygulamalarla birlikte toplam kurulum sayısının 50 milyonu aştığı açıklandı.
Kritik Güvenlik Açığının Detayları
SDK’nın 4.5.4 sürümünde belirlenen bu sorun, bir “niyet yönlendirme” güvenlik açığı olarak tanımlandı. Android’deki niyetler, uygulama bileşenleri arasında eylem talep etmek için kullanılan mesajlaşma nesneleridir. Niyet yönlendirmesi, savunmasız bir uygulamanın gönderdiği niyet içeriğinin manipüle edilerek hassas verilere yetkisiz erişim sağlanmasıyla ortaya çıkar.
Saldırganlar, kötü amaçlı bir uygulama aracılığıyla bu açıktan faydalanarak SDK entegreli bir uygulamanın dahili dizinlerine erişebilir. Bu durum, cihazdaki özel bilgilere yetkisiz erişim riskini doğurur. Microsoft, açığın kötü amaçlı bir bağlamda kullanıldığına dair kanıt bulunmadığını bildirdi.
Uygulama Geliştiricilerine Güncelleme Çağrısı
Microsoft, savunmasız sürümleri kullanan tüm uygulamaların Google Play Store’dan kaldırıldığını duyurdu. Teknoloji devi, SDK’yı entegre eden geliştiricilere mümkün olan en kısa sürede 5.2.1 veya daha yeni sürüme güncellemeleri önerdi. Bu tür kusurların milyonlarca cihazı etkileyebilecek zincirleme reaksiyonlara yol açabileceği vurgulandı.
Microsoft, “Bu vaka, üçüncü taraf SDK’lardaki zayıflıkların, özellikle dijital varlık yönetimi gibi yüksek değerli sektörlerde nasıl büyük ölçekli güvenlik etkilerine yol açabileceğini gösteriyor” değerlendirmesini yaptı. Uygulamaların üçüncü taraf SDK’lara bağımlılığının, şeffaf olmayan tedarik zinciri riskleri yarattığına dikkat çekildi.
Yorum Yap