Çinli Siber Güvenlik Devi Installer Dosyasında Kritik SSL Anahtarını Yanlışlıkla Yayınladı

Çin merkezli siber güvenlik şirketi Qihoo 360 beklenmedik bir güvenlik hatasıyla gündeme geldi. Şirketin geliştirdiği yapay zekâ destekli yardımcı yazılımın kurulum paketinde kritik bir sertifika anahtarının açık biçimde yer aldığı ortaya çıktı. Uzmanların analizine göre Qihoo 360 SSL anahtarı hatası şirketin altyapısında kullanılan önemli bir sertifikanın herkes tarafından erişilebilir hale gelmesine neden oldu.

Güvenlik Araştırmacısı Kurulum Paketinde Kritik Sertifikayı Tespit Etti

Güvenlik araştırmacısı Lukasz Olejnik yazılımın kurulum dosyasını inceleyen teknik analiz sırasında ciddi bir güvenlik hatasını ortaya çıkardı. Araştırmacı şirketin geliştirdiği 360 Security Claw yapay zekâ asistanının kurulum arşivinde kritik bir sertifikanın korunmadan yer aldığını belirledi. Analiz sırasında araştırmacı platform altyapısına ait wildcard SSL sertifikası içeren dosyanın sıkıştırılmamış kurulum paketinde bulunduğunu tespit etti.

Araştırmacı basit bir arşiv çıkarma aracı kullanarak kurulum paketini açtı ve sistemde kullanılan sertifika dosyalarına doğrudan ulaşabildi. Uzmanlar böyle bir durumun özellikle güvenlik yazılımları geliştiren şirketler için ciddi bir risk oluşturduğunu ifade ediyor.

Uzmanlar sızdırılan sertifikanın platform altyapısında kimlik doğrulama işlemlerinde kullanılabileceğini belirtiyor. Araştırmacılar kurulum paketinde bulunan SSL özel anahtar sızıntısı nedeniyle kötü niyetli kişilerin şirket sunucularını taklit edebileceğini ifade ediyor.

Siber güvenlik uzmanları saldırganların bu anahtarı kullanarak kullanıcı trafiğini izleyebileceğini veya sahte internet sayfaları oluşturabileceğini belirtiyor. Tarayıcılar geçerli sertifikaları güvenilir kabul ettiği için bu tür saldırıların kullanıcılar tarafından fark edilmesi daha zor olabiliyor.

Uzmanların paylaştığı bilgilere göre açığa çıkan sertifika myclaw.360.cn sertifika hatası kapsamında platformun tüm alt alan adlarını kapsayabilecek yetkilere sahip. Wildcard yapıda olan sertifika birden fazla alt alan adı için doğrulama sağlayabiliyor. Analizler sertifikanın geçerlilik süresinin Nisan 2027 tarihine kadar devam ettiğini gösteriyor. Uzmanlar sertifika iptal edilmezse saldırganların altyapıyı taklit ederek kullanıcıları hedef alabileceğini belirtiyor.

Qihoo 360 tarafından geliştirilen yazılım OpenClaw tabanlı bir yapay zekâ aracı olarak tanıtılmıştı. Uzmanlar ortaya çıkan AI asistanı güvenlik açığı nedeniyle yazılımın güvenlik yaklaşımının yeniden tartışılmaya başlandığını ifade ediyor.

Şirket yaklaşık 461 milyon kullanıcıya hizmet veren büyük bir güvenlik firması olarak biliniyor. Şirket kurucusu Zhou Hongyi kısa süre önce yapılan tanıtımda yazılımın kullanıcı verilerini korumaya odaklandığını açıklamıştı. Ancak ortaya çıkan 360 Security Claw güvenlik açığı teknoloji dünyasında dikkat çeken bir güvenlik hatası olarak değerlendiriliyor.

Şirket olay hakkında şu ana kadar resmi bir açıklama yapmadı. Uzmanlar şirketin sızdırılan sertifikayı iptal edip yeni güvenlik önlemleri almasının kritik önem taşıdığını belirtiyor.