Android’de Dev Güvenlik Zafiyeti: EngageLab SDK Kalkanı Deldi!
Microsoft güvenlik araştırmacıları, Android ekosisteminde bildirim ve mesajlaşma servisleri sağlayan EngageLab SDK üzerinde tehlikeli bir yönlendirme açığı tespit etti. Bu açık, cihazlardaki uygulamaların Android’in standart güvenlik protokollerini aşarak normalde erişememeleri gereken özel verilere sızmasına yol açıyor.
Kripto Para Uygulamaları Hedefte
Söz konusu açığın en korkutucu boyutu, etkilenen uygulamaların niteliği oldu:
-
30 Milyon İndirme: Sadece kripto para dünyasına yönelik uygulamalarda 30 milyondan fazla indirilmeye ulaşıldığı belirtildi.
-
Finansal Risk: Hata; kullanıcıların kimlik bilgilerini, özel anahtarlarını (private keys) ve bankacılık verilerini saldırganlara açık hale getirme potansiyeline sahip.
-
Mekanizma: SDK içindeki mesajlaşma aracını manipüle eden kötü niyetli kişiler, Android'in uygulamalar arası izolasyon duvarını aşabiliyor.
Hangi Önlemler Alındı?
Microsoft ve Google'ın hızlı koordinasyonuyla riskli durumun kontrol altına alındığı bildirildi:
-
Uygulamalar Kaldırıldı: Güvenlik açığı barındıran ve güncellenmeyen tüm uygulamalar Google Play Store'dan tamamen temizlendi.
-
Yama Yayınlandı: İlk olarak Nisan 2025'te 4.5.4 sürümünde fark edilen hata, Kasım 2025 itibarıyla yayınlanan 5.2.1 sürümü ile kalıcı olarak kapatıldı.
-
Saldırı Kanıtı: Uzmanlar şu ana kadar bu açığın aktif bir saldırıda kullanıldığına dair somut bir bulguya rastlamadı; ancak riskin büyüklüğü nedeniyle geliştiricilere "acil güncelleme" çağrısı yapıldı.
