35.578 Grok Build uygulamasına oturum açmadan erişilebildi

İnceleme sırasında 35.578 Grok Build uygulamasına oturum açmadan erişilebildi. Bu sayı, erişilebilen 37.571 uygulamanın yüzde 94,7’sine karşılık geliyor; ancak hassas bilgi içeren uygulamaların ya da gerçek mağduriyet vakalarının oranını göstermiyor.

Güvenlik şirketi Claroc, 10’unda yayımladığı araştırma raporunda grok.me alt alan adındaki 43.551 uygulama adresini incelediğini bildirdi. Oturum açma durumu, inceleme sırasında çevrimiçi olan uygulamalar üzerinden değerlendirildi.

Grok Build, kullanıcıların sohbet yoluyla uygulama, oyun ve internet sitesi oluşturup yayımlamasını sağlayan bir araç. SpaceXSI, 19 Ağustos’taki ürün duyurusunda özelliğin web ve mobildeki tüm planlarda sunulduğunu açıkladı.

Yayımlanan her uygulamaya kendine ait bir grok.me adresi veriliyor. Uygulamayı oluşturan kişi erişim ayarını “Yalnızca ben”, “Bağlantıya sahip olanlar” veya “Herkese açık” olarak seçebiliyor.

Claroc’un dikkat çektiği sorun, uygulama bağlantısı doğrudan paylaşılmayan kişilerin de adresleri bulabilmesi. Rapora göre uygulama açıldığında oluşan DNS sorgu kayıtları pasif DNS hizmetlerinde tutulabiliyor; bu kayıtlar aranarak uygulama adresleri tespit edilebiliyor.

Claroc, çevrimiçi durumdaki herkese açık uygulamaların çoğunun oyun, tanıtım sayfası veya hesap makinesi olduğunu ve incelediği uygulamaların tamamının hassas bilgi içermediğini belirtti. Bununla birlikte bazı uygulamalarda hastane çalışanlarının listeleri ve yoğun bakım hastalarına ilişkin bilgiler bulunduğunu bildirdi. Bir vardiya planlama uygulamasının kodunda çalışan hesaplarının parolalarının şifrelenmeden yer aldığını da aktardı.

Rapora göre Claroc, şirket içi materyal içeren herkese açık uygulamaların bağlı olduğu kurumları SpaceXSI ve X’in yanı sıra 30 kuruluş için belirleyebildi. Bu kuruluşların 26’sında 1.000’den fazla çalışan, altısında ise Fortune 500 şirketi statüsü bulunuyordu.

İncelemeye SpaceXSI ve X çalışanlarının oluşturduğu 24 uygulama da dahil edildi. Claroc, bu uygulamalarda gizli ibareli yeni çalışan işe alım planları, 594 hesabın satış bölgelerini gösteren bir harita ve reklam teklifleri bulduğunu açıkladı.

Claroc, sorunu 8 Kasım’da SpaceXSI’ye bildirdi ve ertesi gün ek olarak tespit ettiği çalışan uygulamalarını iletti. Raporda, SpaceXSI’nin çalışanlar tarafından oluşturulan 24 uygulamayı yayından kaldırdığı belirtildi.

Claroc, yayımlama ayarlarını ve kimlik doğrulama davranışını kendi oluşturduğu iki test uygulamasıyla inceledi. Ekip kullanımı için hazırlanan test uygulamasında, davet edilmemiş bir Google hesabının uygulamadaki verileri okuyabildiğini, değiştirebildiğini ve silebildiğini bildirdi.

Claroc, veri değiştirme denemelerini yalnızca kendi oluşturduğu uygulamalarda yaptığını açıkladı. Başka kullanıcıların uygulamalarındaki verileri değiştirmediğini ve sunucu işlevlerini çağırmadığını belirtti.

Yayımlama ayarlarının varsayılan değeri konusunda Claroc’un açıklamasıyla SpaceXSI’nin yanıtı farklıydı. Claroc, ücretli bir test hesabında “Bağlantıya sahip olanlar” seçeneğinin işaretli olduğunu bildirdi. SpaceXSI ise uygulamanın oluşturucusu paylaşımı seçene kadar gizli kaldığını, çalışan hesaplarında varsayılan ayarın “Yalnızca ben” olduğunu söyledi.

SpaceXSI’nin resmi ürün duyurusunda genel kullanıcı hesaplarının varsayılan ayarı ayrıca belirtilmedi. Bu nedenle Claroc’un ücretli test hesabındaki bulgusu ile SpaceXSI’nin çalışan hesaplarına ilişkin açıklamasını ayrı değerlendirmek gerekiyor.

Claroc; varsayılan ayarın gizli olması, kuruluşların e-posta alan adlarına dayalı erişim yetkilerinin eklenmesi, uygulamaların tek bir sunucu adı altında farklı yollarla sunulması ve veritabanı ya da oturum açma özelliği bulunmayan uygulamalara yayımlama öncesi uyarı gösterilmesi önerilerinde bulundu. Raporun yayımlandığı tarihe kadar ilgili üç kuruluşa e-posta göndererek durumu bildirdiğini açıkladı.