OneDrive Açığı, Yüzlerce Uygulamanın Kullanıcı Verilerine Erişmesine Neden Oluyor
Siber güvenlik araştırmacıları, OneDrive’ın Dosya Seçici özelliğinde ciddi bir güvenlik açığı tespit etti. Açığın, kullanıcıların tüm OneDrive dosyalarının üçüncü taraf web uygulamaları tarafından erişilebilir hâle gelmesine neden olabileceği bildirildi. Aralarında ChatGPT, Slack, Trello ve ClickUp gibi popüler uygulamaların da bulunduğu yüzlerce platformun bu açıktan etkilenmiş olabileceği belirtiliyor.
OneDrive Dosya Seçici Özelliği Yetersiz Yetki Kapsamıyla Risk Yaratıyor
Araştırmayı gerçekleştiren Oasis Security, Dosya Seçici üzerinden sadece bir dosya paylaşımı yapılırken bile uygulamaların kullanıcının tüm OneDrive içeriğine erişebildiğini açıkladı. Bu durumun temelinde, OneDrive’ın OAuth izin sistemindeki eksikliklerin yer aldığı belirtildi.
OneDrive, dosya paylaşımı sırasında kullanıcılardan izin istiyor ancak bu izin ekranı ne yazık ki hangi verilere erişim sağlandığını net biçimde ifade etmiyor. Kullanıcılar yalnızca belirli dosyaları paylaşmak isterken farkında olmadan tüm hesaplarının içeriklerine erişim izni verebiliyor. Araştırmacılar bu noktada, güvenilir görünen uygulamalar ile kötü niyetli yazılımlar arasındaki farkın kullanıcılar tarafından kolayca ayırt edilemeyeceğini vurguladı.
ChatGPT Dahil Çok Sayıda Uygulama Risk Altında
Oasis’in bulgularına göre, ChatGPT dâhil olmak üzere yüzlerce uygulama bu güvenlik zafiyetinden etkileniyor. ChatGPT’nin OneDrive Dosya Seçici’nin 8.0 sürümünü kullandığı ve bu sürümde kimlik doğrulamanın geliştiriciler tarafından yönetildiği belirtiliyor. Geliştiriciler genellikle Microsoft Authentication Library (MSAL) ile bu işlemi gerçekleştiriyor.
Ancak bu süreçte oturum belirteçleri tarayıcının oturum depolama alanında düz metin hâlinde tutuluyor. Ayrıca yetkilendirme akışı aracılığıyla sunulan Yenileme Belirteci (Refresh Token) sayesinde uzun süreli erişim mümkün hâle geliyor. Bu da kullanıcı verilerinin kötü niyetli yazılımlar tarafından daha uzun süre izinsiz erişime açık olmasına yol açıyor.
Oasis, kurumların acilen Entra Yönetim Merkezi’ndeki uygulamalar listesine giderek her uygulamaya verilen izinleri kontrol etmesini önerdi. Mümkünse web uygulamaları için OneDrive aracılığıyla dosya yükleme seçeneğinin geçici olarak devre dışı bırakılması tavsiye edildi.
Siber güvenlik uzmanı Jamie Boote, OneDrive klasörlerinin içinde kullanıcıların farkında olmadan hassas bilgilerini barındırdığını hatırlatarak önemli bir uyarıda bulundu. Kimlik belgeleri, banka dökümleri, özel fotoğraflar veya sağlık raporları gibi belgeler farkında olunmadan bu alana yüklenebiliyor. Herhangi bir uygulama kullanıcıdan güven talep ettiğinde aslında bu verilere erişim izni istiyor.
Oasis Security, açığı Microsoft’a bildirdiğini açıkladı. Şirket, OneDrive Dosya Seçici özelliği ile uygulamalara tanınan erişim hakları arasında daha sıkı bir denge kurulması yönünde çalışmalar yapıldığını duyurdu. Ancak şu an için Microsoft cephesinden sorunu çözecek somut bir adım atılmış değil.
Bu güvenlik açığı, özellikle kurumsal kullanıcıların ciddi veri ihlalleri ve yasal sorunlarla karşı karşıya kalmasına yol açabilir. Şirketlerin hassas müşteri bilgilerini koruma altına almak için gereken önlemleri vakit kaybetmeden alması gerekiyor.
