Güncelleme, 09/26: Samsung, en son Galaxy S3 üretici yazılımının bu açığı düzelttiğini söyledi. Bununla birlikte, kendi testlerimiz diğer telefonların, özellikle Galaxy S2 modellerinin hala risk altında olduğunu göstermiştir. Hala endişeliyseniz, telefonunuzun savunmasız olup olmadığını görmek için USSD güvenlik açığı testimizi kontrol edebilirsiniz.
Galaxy S2 ve eski bellenimdeki belirli Galaxy S3 modelleri de dahil olmak üzere, bazı TouchWiz tabanlı Samsung akıllı telefonlarında büyük bir güvenlik açığı tespit edildi. Hata ilk günler önce Ekoparty güvenlik konferansında güvenlik araştırmacısı Ravi Borgaonkar tarafından gösterildi. Kullanıcıya sormadan fabrika sıfırlama işlemini hemen tetiklemek veya işlemi iptal etmelerine izin vermek için kötü amaçlı bir web sayfasında tek bir kod satırının kullanılmasını içerir. Daha da ciddi olanı, kullanıcının SIM kartını çalışamaz duruma getirmek için benzer bir aksaklıkla eşleştirilebilmesi olasılığı. Kötü amaçlı kod URI biçiminde olduğundan, NFC veya QR kodu aracılığıyla da teslim edilebilir.
Verizon Galaxy S3'ümüz bir web sayfasına gömülü kötü amaçlı kod tarafından sıfırlanmadı, buna rağmen bir köprüye bağlanmış benzer bir kod kullanarak sıfırlamayı tetikleyebildik. Mobil dev Justin Case, sorunun en son AT&T ve uluslararası Galaxy S3 yazılımlarında çözüldüğünü söylüyor; ancak güncellenmemiş cihazlar korunmasız kalabilir. Diğerleri, Galaxy Ace ve Galaxy Beam gibi cihazların da etkilendiğini bildirdi. Ancak söyleyebildiğimiz kadarıyla, hata Samsung Nexus gibi Android çalışan Android telefonlarını etkilemiyor.
Güvenlik açığı, yerel Samsung çevirici uygulamasının USSD kodlarını ve telefon bağlantılarını işleme biçiminin bir sonucudur. USSD kodları, arama yönlendirmeyi sağlamak veya cihazdaki gizli menülere erişmek gibi belirli işlevleri gerçekleştirmek için tuş takımında girilebilen özel karakter kombinasyonlarıdır. Samsung telefonlarda, telefonun fabrika ayarlarına sıfırlanması için bir USSD kodu da vardır (ve muhtemelen SIM'inizi silmek için başka bir tane de vardır). Bu, çeviricinin başka uygulamalar tarafından kendisine iletilen telefon bağlantılarını otomatik olarak çalıştırmasıyla bir araya geldiğinde, kötü niyetli bir web sayfası tarafından çalıştırılabilecek kadar talihsiz herkes için özellikle kötü bir soruna neden olur.
Elbette, bu aksaklığın başka uygulamaları da vardır - örneğin, numara çevirici üzerinden otomatik olarak numaralar kullanma yeteneği, premium telefon numaralarını aramak için kullanılabilir. Ancak, yalnızca bir web sitesini ziyaret etmeniz telefonunuzu fabrikada sıfırlayabilir, dahili depolama alanınızı siler ve SIM'inizi kopyalamak çok ciddi bir sorundur. Bu yüzden, eğer bir S3 kullanıyorsanız, yazılımınızı güncellemenizi tavsiye ederiz ve eğer yapmazsanız, tüm bunlar sona erene kadar Dialer One gibi bir üçüncü taraf çevirici kullanmanızı öneririz.
Bu konuda yorum yapmak için Samsung'a ulaştık ve sağladıkları bilgilerle sizi haberdar edeceğiz.
Kaynak: @Paul Olvia; SlashGear, @backlon, @teamandirc ile
