CVE-2024-23204 Apple'ın Kısayol Güvenlik Açığı

Güvenlik araştırmacıları, Apple'ın Kısayollar uygulamasındaki yüksek düzeyde risk oluşturan önemli bir güvenlik kusuruyla ilgili ayrıntıları ortaya çıkardı. Bu kusur, bir kısayolun, kullanıcının iznini almadan cihazdaki hassas bilgilere erişmesine olanak tanıyabilir. CVE-2024-23204 olarak tanımlanan güvenlik açığının CVSS puanı 10 üzerinden 7,5'tir. Apple, 22 Ocak 2024'te iOS 17.3, iPadOS 17.3 ve macOS Sonoma 14.3'ün yayımlanmasıyla bu güvenlik açığını giderdi. ve watchOS 10.3.

CVE-2024-23204 kapsamında bir kısayol, kullanıcı yetkilendirmesi gerekmeden belirli eylemler için hassas verileri kullanabilir. Apple, söz konusu yazılım güncellemelerinde 'ek izin kontrolleri' uygulanarak sorunun çözüldüğünü doğruladı.

Apple Kısayollar Uygulaması ile ilgili ayrıntılar

Apple Kısayolları, kullanıcıların macOS ve iOS aygıtlarında görevleri zahmetsizce kolaylaştırmasına olanak tanıyan çeşitli amaçlara hizmet eder. Bu araç, hızlı uygulama görevlerini, cihaz kontrolünü, medya yönetimini, mesajlaşmayı ve konuma dayalı etkinlikleri kapsayan çok sayıda eylemin otomasyonunu kolaylaştırır. Kullanıcılar dosya yönetimi, sağlık ve fitness takibi, Web otomasyonu, eğitim amaçlı ve hatta akıllı ev cihazlarıyla kusursuz entegrasyon için özel olarak tasarlanmış iş akışları oluşturabilir.

Kısayollar hatasını bildiren infosec araştırmacıları, bunun Şeffaflık, Rıza ve Kontrol (TCC) politikalarını atlayabilecek kötü amaçlı bir kısayol oluşturmak için silah olarak kullanılabileceğini doğruladı. TCC, kullanıcı verilerini ilk etapta uygun izinler istenmeden yetkisiz erişime karşı korumak için tasarlanmış bir Apple güvenlik çerçevesidir.

CVE-2024-23204 Verilerin Süzülmesine İzin Verir

CVE-2024-23204 olarak tanımlanan güvenlik açığı, 'URL'yi Genişlet' adı verilen belirli bir kısayol eyleminden kaynaklanmaktadır. Bu eylem, t.co veya bit.ly gibi hizmetler aracılığıyla kısaltılan URL'leri genişletmek ve temizlemek ve UTM izleme parametrelerini ortadan kaldırmak için tasarlanmıştır. Bu özelliğin kullanılması, Base64 kodlu verilerin bir fotoğraftan kötü amaçlı bir web sitesine aktarılmasına olanak tanır.

Teknik, Kısayollar içinden hassas verileri (Fotoğraflar, Kişiler, Dosyalar ve pano verileri gibi) seçmeyi, içe aktarmayı, base64 kodlama seçeneğini kullanarak dönüştürmeyi ve ardından güvenliği ihlal edilmiş sunucuya iletmeyi içeriyor. Çalınan veriler daha sonra yakalanıp bir Flask uygulaması aracılığıyla saldırganın tarafında bir görüntü olarak depolanıyor ve bu da olası sonraki istismarlara zemin hazırlıyor.

Kısayollar, Kısayollar topluluğunda yaygın bir uygulama olan dışa aktarılıp kullanıcılar arasında paylaşılabildiğinden, bu paylaşım mekanizması, güvenlik açığının potansiyel erişim alanını genişletir. Kullanıcılar farkında olmadan CVE-2024-23204'ten yararlanan kısayolları içe aktarabilir ve bu da kötüye kullanım riskini artırabilir.

CVE-2024-23204 Gibi Güvenlik Açıklarının Etkisini Azaltmaya Yönelik Önlemler

Belirlenen güvenlik açıklarına karşı korumayı artırmak için kullanıcıların aşağıdaki önlemleri alması önemle tavsiye edilir:

İşletim Sistemlerini Güncelleyin : macOS, iPadOS ve watchOS aygıtlarının en son yazılım sürümlerini çalıştırdığından emin olun. İşletim sisteminin düzenli olarak güncellenmesi çok önemlidir, çünkü genellikle potansiyel güvenlik açıklarını gideren yamalar ve güvenlik geliştirmeleri içerir.

Kısayollarda Dikkatli Olun : Özellikle güvenilmeyen kaynaklardan elde edilen kısayolları çalıştırırken dikkatli olun. Cihazlarının yanlışlıkla güvenlik tehditlerine maruz kalması riskini en aza indirmek için kullanıcılar, kısayolları çalıştırmadan önce bunların kaynağını ve içeriğini incelemelidir.

Güncellemeleri Düzenli Olarak Kontrol Edin : Apple tarafından sağlanan güvenlik güncellemelerini ve yamaları düzenli olarak kontrol ederek dikkatli olun. Cihazı en son güvenlik sürümleriyle güncel tutmak, potansiyel istismarlara ve güvenlik açıklarına karşı sağlam bir savunma sağlamak açısından temel öneme sahiptir.

Kullanıcılar, önerilen bu uygulamalara bağlı kalarak cihazlarının güvenlik durumunu önemli ölçüde güçlendirecek ve belirlenen güvenlik açığının kurbanı olma olasılığını azaltacaktır.