Apple, iMessage Grup Sohbeti Gizlilik ve Bluetooth Güvenlik Açıklarını Kapattı

iMessage Grup Sohbetlerinde Gizlilik Riski​

Apple, iMessage servisinde bir grup sohbetine davet edilmeden dahil olmak için kötüye kullanılabilen bir açık olduğunu açıkladı. Şirketin yaptığı açıklamaya göre, uzak bir saldırgan, bir grubun dışındaki bir kişi olarak görünerek sohbete katılımı sağlatabiliyor. Apple, bu sorunu onarmak için ilgili işletim sistemlerine güncelleme dağıttı. Açık, yetkilendirme sistemi üzerinden kötüye kullanım ihtimalı barındırıyor; Apple güncellemeler ile bu doğrulamayı iyileştirdi.
Başka bir önemli açıkta ise, bir gruba daha sonra dahil edilen bir kullanıcı, ekleme yapılmadan önce gönderilmiş mesajlara erişebiliyor. Bu hatanın, sohbet geçmişine izinsiz erişime yol açan kritik bir gizlilik riski taşıdığı vurgulandı. Apple, bu ikinci sorun ile ilgili olarak herhangi bir açıklama yapmadan yalnızca sorunun kapatıldığını duyurdu.

Bluetooth ve CISA Kataloğu​

iMessage güncellemesiyle birlikte, Apple, Bluetooth ayarları ile ilgili üç ayrı hatanın da üstesinden geldi. Güncel notlarda, Bluetooth ile eşleşme kodu limitini aşarak erişimin sağlanabileceği ve cihazın kötü amaçla çiftlemesine izin veren açıklar belirtildi. Bu sorunlar, saldırganların belirli bir mesafe içindeki kötü amaçlı cihazlarla eşleşmesi için kullanıcı etkileşimi gerektirmeyen durumlar yaratabiliyor.
Apple, bir grup sohbetinin dışındaki bir kullanıcı olarak görünerek, kullanıcıların onayı olmadan bir grubun dışındaki bir kullanıcı olarak görünebilen bir cihazın çiftleşme durumuna izin veren açık olduğunu da açıkladı. Güncel notlar, bu cihazların çiftleşme sonrası neler yapabileceğine dair ek detay vermezken, bir saldırganın belirli bir mesafe içinde kötü amaçlı bir cihazla çiftleşme limitini aşarak erişimini sağlamasına yol açan diğer iki hatanın da onarıldığı belirtildi.
Açıklamada, Google'ın Brotli sıkıştırma kütüphanesindeki bir hata olarak CISA tarafından 'Cevap verilmesi gereken açık zarar' listelenen bir açıkta da düzeltme yapıldığı duyuruldu. Bu açık, kötü amaçlı girdiler ile yazılacak bir bellek taşması durumuna yol açabiliyor. Apple, ilgili açıklamanın bir sızıntı veya aktif saldırı içermediğini, ancak bu hatanın 'Cevap verilmesi gereken açık zarar' listesinde yayınlanmasının ardından güvenlik ekibinin müdahale edildiğini ifade etti.

Eski Cihazlar ve Güvenlik Durumu​

Apple, iPhone XS, XS Max ve XR; iPad (7. nesil) ve bazı Apple Watch modelleri için güvenlik notlarındaki açıkları sıralamadı. Bu modellerin, ilgili üç hatadan etkilenebileceği konusunda belirsizlik sürerken, Apple, kullanıcıların bu modellerin güncel güvenlik durumlarını kontrol etmeleri gerektiğini vurguladı. Şirket, bu cihazları güncelleyemeyen kullanıcılar için geçici bir güvenlik protokolü önereceğini belirtmedi.
Güncel notlar, hangi kullanıcının veya grubun bu hatadan etkilendiği konusunda bilgilendirme de içermiyor. Apple, bir kullanıcı grubun dışındayken ekleme yapılmadan önce hangi kullanıcıların eski mesaja erişebileceğini veya bir grubun ne kadar geriye dönük izleyebileceğini netleştirmedi. iOS 27.2.1 ve iPadOS 27.2.1 için yayınlanan güvenlik bülteni, tüm üç hatayı düzelttiğini bildiriyor. watchOS 26.6.1 ve iOS 18.7.12 notları, diğer güvenlik düzeltmelerini listelerken, iMessage ve Brotli düzeltmelerini içermedi.