Evolution E-posta Uygulamasında Gizliliği Tehlikeye Atan Açık Ortaya Çıktı
Linux kullanıcılarının yıllardır tercih ettiği Evolution e-posta istemcisi, ciddi bir güvenlik açığı nedeniyle yeniden gündemde. Uygulamanın, uzak içerik yüklemeyi kapatsanız bile gizliliğinizi ihlal ettiği ortaya çıktı.
Takip Kodları DNS Üzerinden İfşa Ediliyor
İngiliz sistem yöneticisi Mike Cardwell’in yaptığı teknik inceleme, Evolution’ın açılan her HTML e-postada DNS isteği gönderdiğini gösterdi. Gönderici, bu istekleri kaydederek mesajın okunup okunmadığını anlayabiliyor. Üstelik bu durum, uzaktan içerik yükleme seçeneği kapalı olsa dahi gerçekleşiyor. Cardwell, özellikle şu HTML kodunun tehlikeli olduğunu belirtti:
<link rel="dns-prefetch" href="some-tracking-domain.com">
Bu zafiyet, kullanıcının IP adresi üzerinden yaklaşık konum bilgisine ulaşılmasına da olanak tanıyor. Güvenlik amacıyla sunulan e-posta içeriğini düz metin olarak gösterme ve izleme piksellerini engelleme gibi ayarlar da bu açığı önleyemiyor.
Cardwell, tespit ettiği güvenlik sorununu yazılı olarak Evolution geliştiricilerine iletti. Ancak ekip, sorunun asıl kaynağının kullandıkları WebKitGTK motoru olduğunu savundu. Daha önce de benzer bir açıkla ilgili açılmış bir hata kaydını işaret eden ekip, yeni bildirimleri dikkate almadı ve önerilen çözüm önerilerini uygulamaya almadı.
Cardwell, sorunlu HTML etiketlerini engellemek için bir beyaz liste yaklaşımı önerdi. Bu liste sayesinde yalnızca güvenli etiketlerin işlenmesi sağlanabilir. Ancak bu öneri geliştirici ekip tarafından ciddiye alınmadı. Kullanıcılar için e-posta içeriğinin web motoruna gönderilmeden önce filtrelenmesini savunan Cardwell, bunun temel bir savunma katmanı olacağını vurguladı.
Evolution, GNOME masaüstü ortamının varsayılan e-posta istemcisi olarak birçok Linux dağıtımında önceden yüklü geliyor. Özellikle Fedora gibi yaygın kullanılan sistemlerde binlerce kullanıcının bu açıktan etkilenebileceği düşünülüyor. Cardwell, gizliliğe önem veren kullanıcılara Evolution kullanımını bırakmalarını ve alternatif istemcilere yönelmelerini tavsiye ediyor.
