Yapay zeka (YZ) destekli güvenlik araştırmalarının, geleneksel 90 günlük güvenlik açığı bildirim pencerelerini anlamsız hale getirdiği ve sistemleri sıfır gün saldırılarına açık bıraktığı bir döneme giriyoruz. Bu durumun en çarpıcı örneklerinden biri, güvenlik araştırmacıları tarafından keşfedilen ve 'Zoomsday' adı verilen bir açık. Bu açık sayesinde, bir Zoom görüşmesine katılan herhangi bir kişi, diğer katılımcıların cihazları üzerinde tam kontrol sağlayabiliyor.
Araştırmacılar, bu kritik açığı sadece 20 adet yapay zeka komutuyla keşfettiklerini belirtiyor. Zoom'un küresel çapta yaklaşık 220 milyon aylık aktif kullanıcıya sahip olduğu ve konferans pazarında önemli bir paya sahip olduğu düşünüldüğünde, bu açığın potansiyel etkileri oldukça endişe verici.
Zoom Workplace'in 7.0.6 (veya "hızlı izleme" sürümünde 7.1.5) öncesi sürümlerinde iki adet uzaktan kod çalıştırma (RCE) zafiyeti tespit edildi. Bu güvenlik açıkları, Zoom'un ek açıklama (annotation) işlevi için kullanılan bir kütüphanede yer alıyor. Kötü niyetli kişilerin, beyaz tahta veya ek açıklama özelliklerini kullanmaya gerek kalmadan, sadece görüşmeye katılarak bu zafiyetten faydalanabileceği belirtiliyor. Zoom, bu açıkları raporların ardından hızla yamalayarak güncel sürümlerin güvenli hale getirildiğini duyurdu.
Bu açık sayesinde saldırganlar, kullanıcıların bilgisayarlarını ve verilerini gizlice kontrol altına alabiliyor. Tam uzaktan kod çalıştırma yeteneği, kullanıcının cihazı üzerinde geniş çaplı manipülasyonlara olanak tanıyor. Her ne kadar Zoom uygulaması yönetici ayrıcalıklarıyla çalışmasa da, kullanıcı verilerine erişim sağlandıktan sonra başka yollarla kalıcılık elde etmek oldukça kolaylaşıyor.
Güvenlik firması, bu türden ulus devlet düzeyinde bir zafiyetin, sadece az sayıda komutla ve sınırlı kaynaklarla oluşturulabilmesinin, yapay zeka destekli araştırmanın ne kadar kolaylaştığını gösterdiğini vurguluyor. Özellikle kapalı kaynaklı bir uygulama olmasına rağmen Zoom'un bu şekilde kolayca ele geçirilmesi, güvenlik camiasında büyük yankı uyandırdı.
Söz konusu güvenlik açığının temelinde bir tampon taşması (buffer overrun) zafiyeti yatıyor. Bu tür zafiyetlerde, program gelen verinin boyutunu yeterince kontrol etmediği için, beklenenden daha büyük veri girişi hafıza alanının dışına taşarak kodun çalışmasına neden oluyor.
Araştırmacılar, öncelikle Android paketini tersine derleyerek ve yapay zeka aracılığıyla potansiyel saldırı yüzeylerini sıralayarak işe başladı. Ardından, iletişim protokolüne odaklandılar. Ek açıklama işlevini yöneten kod kütüphanesinin, her bir nesneyi seri hale getirilmiş olarak aldığını ve alıcıya ne kadar veri okuması gerektiğini belirten sayaç alanları olduğunu fark ettiler. Kritik nokta ise, bu okuma işlemlerini yöneten kodda bir sınır kontrolünün olmamasıydı. Bu durum, saldırganların veri boyutunu yanıltarak, beklenenden daha büyük bir veri parçası göndermesine ve bu verinin sonuna kötü amaçlı kod ekleyerek çalıştırmasına olanak tanıyordu.
Zoom, bu güvenlik açıklarının farkına varıldığı anda hızlıca yamalar yayınlayarak kullanıcıların güvenliğini sağladığını belirtti. Bu gelişme, teknoloji dünyasında yapay zekanın güvenlik açıklarının tespit edilmesindeki artan rolünü ve bu alandaki araştırmaların ne kadar hızlandığını bir kez daha gözler önüne serdi.
