Adobe Acrobat’ın habersiz yüklenen Chrome eklentisinde büyük açık

Yorumlar

Günümüzde siber güvenlik son kullanıcılar açısından oldukça sıkıntı hale gelmeye başladı. Geçtiğimiz günlerde Hollanda’daki programcı skandalıyla ilgili haberimizden de hatırlayacağınız gibi şirketler programcılarını güvenilir seçmediği zaman kullanıcılar açısından büyük tehlikeler oluşabiliyor, kişisel bilgiler çalınabiliyor. Ancak güvenilir bir programcınız olsa bile bazen yazılımdaki fark edilmeyen açıklar hackerların hedefi haline gelebiliyor.

Buna örnek bir durum geçen geçen hafta Adobe tarafından Acrobat için yayınlanan güncellemede ortaya çıktı. 10 Ocak’ta yayınlanan güncellemede 29 farklı açık olduğu iddia ediliyor. Ancak kullanıcılar tarafından en çok eleştirilen kısım ise bu güncellemenin aynı zamanda izin almadan, Acrobat’ın Chrome eklentsini de yüklemiş olması.

Sadece Windows için bulunan bu eklenti, kullanıcının ziyaret ettiği web sitelerinden veri toplamak, indirmeleri yönetmek ve bilgisayardaki bazı uygulamalarla iletişim kurmak için izin gerektiriyor. Ayrıca bu eklenti, bilgisayardan da çeşitli bilgiler topluyor. Adobe ise web sayfalarını PDF’ye çevirmeye yarayan bu eklentinin, hiçbir kişisel bilgi toplamadığını ve topladığı anonim verilerin sadece Adobe’un işine yaracak cinsten olduğunu iddia ediyor. Yani Adobe’a göre toplanan anonim veriler çalınsa bile kimsenin işine yaramaz.

Google Project Zero’dan Tavis Ormandy’nin açıklamalarına göre bu eklenti aynı zamanda XSS yani çapraz site komut çalıştırma adı verilen saldırıya karşı da açıklar taşıyor. Uzmana göre bu şekilde bir güvenlik açığı oldukça kritik. Bu güvenlik açığı ile hackerlar tarafından web sitelerine bazı kodlar yerleştirilerek web sitesi sahibinin istemediği eylemler zorla gerçekleştirilebiliyor. Ayrıca Ormandy, bu güvenlik açığına sahip eklentinin 30 milyon kişi tarafından yüklendiğini iddia ediyor.

Tüm bu iddialara cevap olarak ise, Adobe tarafından da bir duyuru geldi. Adobe’un yaptığı duyuruda, 12 Ocak’ta eklenti için bir güncelleme yayınlandığı ve iddia edilen tüm güvenlik açıklarının kapatıldığı bildirildi.