Çok indirilen bir mesajlaşma uygulamasının yol açtığı büyük güvenlik açığı

Google Play üzerinden 100 milyondan fazla yüklemesi olan mesajlaşma uygulaması Go SMS Pro’nun, kullanıcıların uygulamayı kullanarak gönderdikleri hassas içeriğe erişilmesine potansiyel olarak izin veren büyük bir güvenlik açığına sahip olduğu ortaya çıktı. Uygulamanın üreticisi, sorun hakkında aylar önce bilgilendirilmiş olsa da, meydana gelen sorunu düzeltmek için herhangi bir güncelleme yapmadı.

Uygulamanın ne kadar bilgi sızdırdığına dair bir fikir vermesi için TechCrunch‘ın bulabildiği şu bilgilere bakabilirsiniz: “Yalnızca birkaç düzine bağlantıyı görüntülerken, oldukça dürüst olmak gerekirse, bir kişinin telefon numarasını, bir banka havalesinin ekran görüntüsünü, birinin de ev adresinin dahil olduğu bir sipariş onayı, tutuklama kaydı ve beklediğimizden çok daha açık fotoğraflar bulduk.” diyor siber güvenlik muhabiri Zack Whittaker.

Trustwave tarafından hazırlanan bir rapora göre Go SMS Pro, karşı tarafa gönderdiğiniz her medya dosyasını internet ortamına yüklüyor ve bu dosyalara bir URL ile erişilebilir hale getiriyor. Go SMS Pro aracılığıyla bir fotoğraf veya video gibi medyaya sahip bir mesaj gönderdiğinizde uygulama, içeriği sunucularına yüklüyor ve bunu gösteren bir URL oluşturup bunu alıcıya gönderiyor. Alıcıda da Go SMS Pro varsa, içerik doğrudan mesajda görünüyor. Ancak uygulama dosyayı yine de yüklüyor ve yine de internette herkesin erişebileceği bir bağlantıyı oluşturuyor.

Sorun bu URL’den kaynaklanıyor. Bağlantıya bakmak için kimlik doğrulaması gerekmiyor, yani bağlantıya sahip olan herkes içindeki içeriği görüntüleyebilir. Ve uygulama tarafından oluşturulan URL’lerin sıralı ve öngörülebilir bir adrese sahip olduğu görülüyor, bu da herkesin yalnızca URL’nin doğru kısımlarını değiştirerek diğer dosyalara bakabileceği anlamına geliyor. Teorik olarak, sıralı URL’leri otomatik olarak oluşturmak için bir komut dosyası bile yazabilir, böylece Go SMS Pro kullanan kişiler tarafından paylaşılan birçok özel içeriği hızla bulabilir ve bunlara göz atabilirsiniz.

Daha da kötüsü, uygulamanın geliştiricisi bu sorunla ilgili olarak gelen şikayetlere yanıt vermedi. Bu nedenle söz konusu güvenlik açığının düzeltilip düzeltilmeyeceği belli değil. Trustwave, geliştiriciyle 18 Ağustos 2020’den bu yana dört kez iletişime geçerek onları güvenlik açığı konusunda bilgilendirdi, ancak bir yanıt alamadı. TechCrunch da uygulamaya bağlı iki e-posta adresine e-posta gönderdi ve cevap bekledi. Bir adrese gönderilen e-posta, gelen kutusunun dolu olduğunu belirten bir mesajla geri döndü. Başka bir e-posta açıldı, ancak yanıtlanmadı ve bir takip e-postası açılmadı. Bu arada geliştiricinin Play Store girişinde listelenen web sitesi bozuk görünüyor.

Go SMS Pro Türkiye’de pek bilinen bir uygulama değil. Yine de Google Play’de rastlayıp yüklediniz ve kullanıyorsanız, paylaştığınız şeylerin internete sızmasını önlemek için farklı bir mesajlaşma uygulamasına geçmelisiniz.

BUNLAR DA İLGİNİZİ ÇEKEBİLİR

HP Envy 14 (2021) İncelemesi

Dizüstü bilgisayar denilince akla gelen ilk markalardan biri olan HP'nin farklı fiyat noktalarına yayılmış çeşitli ürün serileri bulunuyor. Envy serisi, orta segment Pavilion ile...

F1 İtalya Emilia-Romagna GP 2021: Saat kaçta, nasıl canlı izlenir?

Formula 1 2021 sezonu üç haftalık bir aranın ardından Avrupa yarışlarıyla kaldığı yerden devam ediyor. Geçen yıl da sıra dışı takvimde sonbaharda düzenlenen bir...