GhostMap Android Açığı, Zararlı Uygulamayla Telefonları Sürekli Yeniden Başlatabiliyor
Android işletim sisteminde keşfedilen GhostMap adlı güvenlik açığı, kötü amaçlı bir uygulamanın cihazı sürekli yeniden başlatma döngüsüne sokmasına neden olabiliyor. Bitdefender araştırmacıları tarafından ortaya çıkarılan sorun, herhangi bir özel izin istemeyen ve çalıştırılması gerekmeyen bir uygulamayla tetiklenebiliyor. Google’ın ağustos ayından bu yana haberdar olduğu açık için henüz güvenlik yaması yayınlanmazken saldırı, cihazdaki yerel verilere erişimi de engelleyebiliyor.
GhostMap Android Cihazlarda Nasıl Çalışıyor?
GhostMap olarak adlandırılan güvenlik açığı, Android işletim sistemindeki iki farklı ZIP sıkıştırma kütüphanesinin dosya boyutlarını farklı yorumlamasından kaynaklanıyor. Saldırganlar, bu uyumsuzluktan yararlanarak gerçek içeriğinin dışındaki bir bellek alanına eşlenen hatalı APK dosyaları hazırlayabiliyor.
Android sistemi, söz konusu dosyadaki bir kaynağı okumaya çalıştığında geçersiz bellek alanına erişiyor. İşletim sistemi bu durumda SIGBUS adı verilen hata sinyalini üreterek ilgili işlemi sonlandırıyor. Hatanın tetiklendiği süreç yeniden başlatıldığında aynı dosyayı tekrar okumaya çalışıyor ve yeniden çöküyor. Böylece cihazda sürekli tekrarlanan bir sistem çökmesi meydana geliyor.
Romanya merkezli siber güvenlik şirketi Bitdefender, açığı bir Android bankacılık truva atını incelerken keşfetti. Araştırmacılar, zararlı yazılımın emülatörlerde bir uygulama kaynağını okumaya çalıştığı sırada sürekli çöktüğünü fark etti. Yapılan incelemeler, sorunun doğrudan kötü amaçlı yazılımdan değil Android’in dosya işleme mekanizmasındaki bellek eşleme hatasından kaynaklandığını ortaya çıkardı.
Bitdefender araştırmacıları, açığın etkisini göstermek amacıyla çalıştırılabilir kod içermeyen özel bir Android uygulaması hazırladı. Hatalı APK dosyası, kurulum sırasında herhangi bir özel izin istemiyor. Uygulamanın kullanıcı tarafından açılması da gerekmiyor.
Araştırmacılar, Android’in temel sistem hizmetlerinden biri olan system_server sürecinin kurulum sonrasında otomatik olarak okumaya çalıştığı bir kaynak dosyasını uygulamaya yerleştirdi. Sistem bu dosyaya eriştiğinde GhostMap hatası tetikleniyor. system_server işlemi çöktükten sonra yeniden başladığı için aynı kaynağı tekrar okuyor ve yeniden çöküyor.
Bitdefender, testlerini Android 17 çalıştıran ve 5 Ağustos güvenlik yamasını kullanan Pixel 10 üzerinde gerçekleştirdi. Uygulamanın kurulmasından yaklaşık bir saniye sonra çökme döngüsü başladı. Normal açılış modunda 110 kez tekrarlanan çökme, güvenli modda ise 72 kez gerçekleşti.
GhostMap açığının oluşturduğu en ciddi sorunlardan biri, kullanıcıların cihazı kurtarmak için başvurduğu güvenli modun da etkilenebilmesi. Normal koşullarda güvenli mod, sorun çıkaran üçüncü taraf uygulamaları devre dışı bırakarak Android cihazların yeniden kullanılmasını sağlayabiliyor. Ancak GhostMap saldırısında sistemin temel hizmeti çöktüğü için güvenli mod da sürekli yeniden başlatma döngüsünden etkilenebiliyor.
Bitdefender, sorunun giderilmesi için iki yöntem bulunduğunu belirtiyor. İlk seçenek fabrika ayarlarına sıfırlama işlemi. Ancak bu işlem cihazda yerel olarak saklanan verilerin silinmesine neden oluyor. İkinci yöntem ise hatalı dosyanın Android Debug Bridge (ADB) üzerinden silinmesi.
ADB yöntemi de bazı koşullara bağlı. Kullanıcının saldırı gerçekleşmeden önce cihazında USB hata ayıklama özelliğini etkinleştirmiş olması gerekiyor. Ayrıca sistem sürekli çöktüğü için komut dosyalarının yeniden başlatma döngüsü sırasında yeterince hızlı çalıştırılması şart.
Bitdefender, GhostMap güvenlik açığını 20 Ağustos’ta Google’a bildirdi. Ancak şirket, ilk başvuruya “Won’t Fix (Not Reproducible)” yanıtını aldı. Google, bildirilen sorunun yeniden üretilemediğini belirterek açığı güvenlik güncellemesi kapsamı dışında değerlendirdi.
Araştırmacılar, ilk bildirimin yanlış sınıflandırıldığını düşünerek 25 Ağustos’ta daha kapsamlı teknik kanıtlar içeren yeni bir başvuru yaptı. Google bu kez de sorunu güvenlik güncellemesi kapsamı dışında tuttu ancak gelecekteki bir güncellemede değerlendirilmek üzere kayda aldı.
BleepingComputer, açığın giderilme durumuyla ilgili Google’dan açıklama istedi ancak haberin hazırlandığı sırada şirketten yanıt alınamamıştı. Bitdefender ise saldırının engellenmesinde en kritik aşamanın uygulama kurulumu olduğunu belirtiyor. Üçüncü taraf güvenlik yazılımları şüpheli dosyaları tespit ederek uyarı gösterebilse de uygulama yükleme işlemini engelleyecek yetkilere sahip olmayabiliyor.
GhostMap vakası, Android güvenliğinde uygulama izinlerinin tek başına yeterli koruma sağlamadığını gösteriyor. Herhangi bir özel izin talep etmeyen bir APK dosyasının sistem hizmetlerini etkileyebilmesi, uygulama yükleme sürecindeki dosya doğrulama mekanizmalarının önemini artırıyor. Google’ın henüz kapsamlı bir güvenlik düzeltmesi sunmamış olması ise Android kullanıcıları açısından belirsizliği sürdürüyor.
