Son zamanlarda sıkça kullanılan “EngageLab SDK” adlı üçüncü taraf Android yazılım geliştirme kitinde tespit edilen ve artık yamalanmış bir güvenlik açığının detayları gün yüzüne çıktı.

MICROSOFT DEFENDER EKİBİNDEN KRİTİK RAPOR

The Hacker News’te yayınlanan bir habere göre, Microsoft Defender Güvenlik Araştırma Ekibi tarafından hazırlanan raporda, “Bu kusur, aynı cihaz üzerindeki uygulamaların Android güvenlik korumalı alanını atlamasına ve özel verilere yetkisiz erişim sağlamasına olanak tanıyor” şeklinde ifadeler yer aldı.

50 MİLYONU AŞKIN KURULUM VE PLAY STORE MÜDAHALESİ

Microsoft, bu SDK’yı kullanan uygulamaların büyük bir kısmının kripto para ve dijital cüzdan ekosistemine dahil olduğunu ve etkilenen cüzdan uygulamalarının 30 milyondan fazla kurulum gerçekleştirdiğini belirtti. Cüzdan dışındaki uygulamalar da dahil edildiğinde, toplam kurulum sayısı 50 milyonu geçiyor.

Microsoft, söz konusu uygulamaların isimlerini açıklamadı ancak SDK’nın savunmasız sürümlerini kullanan tüm uygulamaların Google Play Store’dan kaldırıldığını bildirdi. EngageLab ise güvenlik açığını gidermek için Kasım 2025’te 5.2.1 sürümünü piyasaya sürecek.

“NİYET YÖNLENDİRME” AÇIĞI

SDK’nın 4.5.4 sürümünde ortaya çıkan sorun, “niyet yönlendirme (intent redirection)” güvenlik açığı olarak tanımlandı. Android’de “niyetler (intents)”, başka bir uygulama bileşeninden bir eylem talep etmek için kullanılan mesajlaşma nesneleridir.

Niyet yönlendirmesi, savunmasız bir uygulamanın gönderdiği bir niyetin içeriğinin manipüle edilmesiyle ortaya çıkar. Bu durum, korumalı bileşenlere yetkisiz erişim sağlamak, hassas verileri ifşa etmek veya Android ortamında ayrıcalıkları yükseltmek amacıyla güvenilir bağlamından yararlanarak gerçekleşir. Kötü amaçlı bir uygulama, bu güvenlik açığından faydalanarak SDK’nın entegre olduğu bir uygulamayla ilişkili dahili dizinlere erişebilir ve bu da hassas verilere yetkisiz erişimle sonuçlanabilir.

GÜNCELLEME ÇAĞRISI

Güvenlik açığının kötü amaçlı bir bağlamda kullanıldığına dair herhangi bir kanıt bulunmamakla birlikte, SDK’yı entegre eden geliştiricilere, mümkün olan en kısa sürede en son sürüme güncellemeleri öneriliyor. Bu, özellikle yukarı akış (upstream) kütüphanelerindeki küçük kusurların bile zincirleme etkilere yol açabileceği ve milyonlarca cihazı etkileyebileceği göz önüne alındığında önem taşıyor.

MICROSOFT’TAN DİKKAT ÇEKEN AÇIKLAMALAR

Microsoft, durumu şu sözlerle değerlendirdi:

“Bu vaka, üçüncü taraf SDK’lardaki zayıflıkların, özellikle dijital varlık yönetimi gibi yüksek değerli sektörlerde nasıl büyük ölçekli güvenlik etkilerine yol açabileceğini gösteriyor. Uygulamalar giderek artan bir şekilde üçüncü taraf SDK’lara güveniyor ve bu durum büyük ve genellikle şeffaf olmayan tedarik zinciri bağımlılıkları yaratıyor. Bu riskler, entegrasyonların dışa aktarılan bileşenleri açığa çıkarması veya uygulama sınırları ötesinde doğrulanmayan güven varsayımlarına dayanması durumunda daha da artmaktadır.”