Android 16 cihazlarda belirli koşullar altında kilit ekranı doğrulamasını aşabilen bir Gemini hatası keşfedildi. Açık, telefonu elinde bulunduran birinin kullanıcının PIN’ini bilmeden Gemini üzerinden SMS ve WhatsApp mesajları gönderebilmesini sağlıyor.
The Register, mayıs ayından bu yana Gemini’ye doğrudan kilit ekranından erişim izni verilen Android 16 cihazlarda doğrulamanın aşılabildiğine ilişkin birden fazla bildirim aldığını aktardı.
Açığın kullanılabilmesi için ise belirli işlemlerin aynı anda yapılması gerekiyor.
Telefon sahibi Gemini’nin Mesajlar uygulamasına erişimini kaldırdığında, normal koşullarda kilit ekranından mesaj gönderme talebi ilgili uygulamanın açılmasını gerektiriyor. Kullanıcı “Devam” seçeneğine bastığında sistem doğru şekilde PIN istiyor.
Ancak “Devam” düğmesiyle Gemini’nin “Ek Ekle” düğmesine tam olarak aynı anda basılması bu güvenlik önlemini tamamen devre dışı bırakabiliyor. Böylece SMS, herhangi bir kimlik doğrulaması yapılmadan gönderilebiliyor.
Açığın çalışması belirli bir hareket gerektirse de kilit ekranının mesajları korumasını engellediği için ciddi bir risk oluşturuyor.
Güvenlik açığı SMS göndermekle sınırlı kalmıyor. Gemini’nin metin alanına @WhatsApp benzeri bir ifade yazılması, kullanıcının daha önce bağlantısını kestiği uygulamaları PIN istemeden yeniden bağlayabiliyor.
Telefonun ayarları daha sonra kontrol edildiğinde WhatsApp, kullanıcı kendisi onay vermiş gibi Gemini’ye bağlı görünüyor. Bu işlem sırasında da PIN girilmesi gerekmiyor.
Açığın kullanılabilmesi için başka birinin telefona fiziksel olarak sahip olması gerekiyor. Bu yüzden uzaktan gerçekleştirilen bir saldırıya kıyasla daha düşük risk taşıyor.
Buna rağmen araştırmacılar, açığın telefon hırsızlığı vakalarında kötüye kullanılabileceği konusunda uyardı. Telefonu ele geçiren kişiler, cihaz sahibi yeniden kontrolü sağlamadan önce onun numarasından ikna edici mesajlar gönderebilir.
Hata yalnızca Pixel cihazlarla sınırlı değil. Bazı kullanıcılar açığı Samsung telefonlarda tekrarlayamadıklarını bildirirken Google, hangi üreticilerin veya modellerin savunmasız olduğunu henüz açıklamadı.
Google, sorundan zaten haberdar olduğunu ve düzeltme güncellemesinin halihazırda kullanıma sunulduğunu doğruladı. Şirket, tam düzeltmenin ise bu hafta dağıtılmasını planladığını belirtti.
Güncelleme telefona ulaşana kadar şimdilik en güvenli seçenek, Gemini’nin kilit ekranı erişimini tamamen devre dışı bırakmak.
Böylece Gemini’nin telefon kilidi açılmadan kullanılmasının önüne geçilerek, yama gelene kadar söz konusu yöntemin uygulanması engellenebilir.
(Kaynak: Digital Trends)