Araştırmacılar, macOS için geliştirilmiş Teams, Outlook, Word, PowerPoint, OneNote ve Excel gibi bir dizi Microsoft uygulamasında güvenlik açığı keşfetti. Bu açığı kullanan hackerlar kullanıcının mikrofonuna, kamerasına, klasörlerine, ekran kaydına, kullanıcı girdisine ve daha fazlasına erişim sağlayabiliyor. Microsoft uygulamalarında güvenlik açığı
Cisco Talos’tan güvenlik araştırmacıları tarafından paylaşılan blog gönderisinde açığın saldırganlar tarafından nasıl istismar edilebileceği ve Microsoft’un bu açığı gidermek için neler yaptığı detaylandırıldı. Keşfedilen sekiz güvenlik açığı kullanıcıların gözetlenmesine izin veriyor. Kullanıcılar bu uygulamalara cihaz kaynaklarına erişim izni verdiyse bilgisayar korsanlarının bunları, kullanıcıların haberi olmadan gizlice video veya ses kaydetmek için kullanabileceği anlamına geliyor. Örneğin, kamera ve mikrofon erişimi olan bir görüntülü sohbet uygulaması istismar edilirse, kullanıcıyı uyarmadan kayıt yapmak için kullanılabilir. Excel hariç tüm uygulamalar ses kaydetme özelliğine sahip, hatta bazıları kameraya bile erişebiliyor.
Saldırı, Microsoft uygulamalarına kötü niyetli kütüphaneler enjekte ederek bu uygulamaların yetkilerini ve kullanıcı tarafından verilen izinleri elde etmeye dayanıyor. Esasında Apple’ın macOS’ta konum hizmetleri, kamera, mikrofon, kitaplık fotoğrafları ve diğer dosyalar gibi şeylere erişmek için uygulama izinlerini yöneten Transparency Consent and Control (TCC) olarak bilinen bir çerçeve bulunuyor. Her uygulama TCC’den izin talep etmek için bir yetkiye ihtiyaç duyuyor. Bu yetkilere sahip olmayan uygulamalar izin talebinde bulunmazlar ve dolayısıyla kameraya ve bilgisayarın diğer bölümlerine erişemezler. Ancak açık, kötü niyetli yazılımların Microsoft uygulamalarına verilen izinleri kullanmasına izin veriyor.
Çözüm üzerinde çalışılıyor
Cisco Talos’a göre Microsoft, üçüncü taraf eklentilerini desteklemek için imzasız kütüphanelerin yüklenmesine dayanan bu açığı “düşük riskli” olarak değerlendiriyor. Açıkların rapor edilmesinin ardından Microsoft, macOS için Microsoft Teams ve OneNote uygulamalarını güncelleyerek açığı ortadan kaldırdı. Excel, Outlook, PowerPoint ve Word’ün savunmasız kalmaya devam ettiği belirtiliyor. Bu uygulamaların ne zaman güncelleneceği şimdilik belirsiz.