Android 16’da Gemini kaynaklı kritik güvenlik açığı ortaya çıktı. Kilit ekranı doğrulamasını aşan açık, PIN’siz SMS ve WhatsApp mesajı göndermeye imkan tanıyor.
Android 16 işletim sistemli cihazlarda, belirli koşullar altında kilit ekranı doğrulamasını atlayabilen bir Gemini güvenlik açığı tespit edildi. Bu açık, telefonu elinde bulunduran kişilerin, kullanıcının PIN kodunu bilmeden Gemini üzerinden SMS ve WhatsApp mesajları göndermesine olanak tanıyor.
The Register’ın mayıs ayından bu yana aldığı bildirimlere göre, Gemini’ye doğrudan kilit ekranından erişim izni verilen Android 16 cihazlarında bu doğrulama atlanabiliyor. Açığın kötüye kullanılabilmesi için ise belirli tuş kombinasyonlarının aynı anda aktive edilmesi gerekiyor.
Normalde, telefon sahibi Gemini’nin Mesajlar uygulamasına kilit ekranından erişim izni verdiğinde, bir mesaj gönderme talebi ilgili uygulamayı açmayı gerektirir. Kullanıcı ‘Devam’ seçeneğine dokunduğunda sistem PIN kodu ister.
Ancak, ‘Devam’ düğmesi ile Gemini’nin ‘Ek Ekle’ düğmesine tam olarak eş zamanlı basılması, bu güvenlik önlemini etkisiz hale getirebiliyor. Sonuç olarak, herhangi bir kimlik doğrulaması yapılmadan SMS gönderilebiliyor.
Bu açığın çalışması için özel bir hareket dizisi gerekse de, kilit ekranının mesajları koruma yeteneğini ortadan kaldırması ciddi bir risk oluşturuyor. Bu durum, telefonun fiziksel olarak ele geçirilmesi halinde mesajların gizliliğini tehlikeye atıyor.
Güvenlik açığı yalnızca SMS göndermekle sınırlı kalmıyor. Gemini’nin metin alanına ‘@WhatsApp’ gibi bir ifade yazılması, kullanıcının daha önce bağlantısını kestiği uygulamaların PIN kodu sorulmadan yeniden bağlanmasına imkan tanıyor.
Telefonun ayarları daha sonra kontrol edildiğinde WhatsApp’ın, kullanıcı onay vermiş gibi Gemini’ye bağlı olduğu görülüyor. Bu işlem sırasında da herhangi bir PIN girilmesi gerekmiyor. Bu durum, uygulamaların yetkisiz erişimine kapı aralayabiliyor.
Araştırmacılar, açığın kullanılabilmesi için bir saldırganın telefona fiziksel olarak erişmesi gerektiğini belirtiyor. Bu nedenle, uzaktan gerçekleştirilen saldırılara kıyasla daha düşük bir risk taşıdığı düşünülüyor. Yine de araştırmacılar, bu açığın telefon hırsızlığı vakalarında kötüye kullanılabileceği konusunda uyardı. Telefonu ele geçiren kişiler, cihaz sahibi kontrolü yeniden sağlamadan önce onun adına ikna edici mesajlar gönderebilir.
Hata, yalnızca Pixel cihazlarla sınırlı değil. Bazı kullanıcılar açığı Samsung telefonlarda tekrarlayamadıklarını bildirse de, Google hangi üreticilerin veya modellerin savunmasız olduğunu henüz netleştirmedi. Bu durum, kullanıcıların cihazlarının güvenliği konusunda endişe duymasına neden oluyor.
Google, sorundan haberdar olduğunu ve bir düzeltme güncellemesinin halihazırda hazırlandığını doğruladı. Şirket, tam düzeltmenin bu hafta içinde dağıtılmasını planlıyor. Güncelleme telefona ulaşana kadar en güvenli önlem, Gemini’nin kilit ekranı erişimini tamamen devre dışı bırakmak olarak öneriliyor. Bu sayede Gemini’nin telefon kilidi açılmadan kullanılmasının önüne geçilerek, yama gelene kadar söz konusu güvenlik açığının istismar edilmesi engellenebilir.
Yorum Yap