Android panosu okuma uyarıları özel toast bildirimleriyle gizlenebilir, araştırmacı buldu

Bir araştırmacı, iki geliştirici tarafından oluşturulan toast bildirimini hızlıca tetikleyerek Android panosu okuma uyarısını gizleyebilen bir yöntemi kamuya açıkladı. Açıklama, ilgili Orta düzeydeki bir CVE'nin Android Güvenlik Ekibi tarafından Won't Fix olarak işaretlendiğini öğrendikten sonra geldi. Konu önem taşıyor çünkü Slack üzerinden paylaşılan bir parola gibi kopyalanmış kimlik bilgileri, kullanıcı olağan uyarıyı fark etmeden başka bir uygulama tarafından okunabilir.

Atlatma nasıl çalışıyor

Basit bir Android test uygulaması kullanarak araştırmacı, pano okuma güvenlik önlemi atlatmayı başardı. Test, pano içeriğinin okunduğunu kullanıcıya bildiren iletinin yerine gösterilen iki geliştirici toast bildirimini hızlıca tetikledi. Araştırmacı yakın zamanda Android Studio kurmuş ve bir bildirim zaman damgası hatasını düzeltmeye çalışırken Android Meshtastic uygulama deposunu çatallamıştı; bu da Android geliştirme araçlarının elinde olmasını sağlamış ve fikri ortaya çıkarmıştı. Bildirim zaman damgası hatası yeniden üretilemedi.

Mevcut Android pano korumaları

Google'ın Güvenli Pano İşleme belgeleri, hassas içeriği güvenli biçimde kopyalama sorumluluğunu uygulama geliştiricilerine bırakıyor. Android, ClipDescription.EXTRA_IS_SENSITIVE veya android.content.extra.IS_SENSITIVE bayrağını destekliyor; bu bayrak, geliştiricilerin klavye arayüzlerinde pano içeriği önizlemelerini görsel olarak gizlemesine izin veriyor. Bu bayraklardan biri olmadan saldırganlar, omuz üzerinden gözetleme yoluyla veya arka planda çalışan ve ekran görüntüsü alan ya da video kaydeden kötü amaçlı uygulamalar yoluyla hassas veriyi dışarı sızdırabilir. Google Authenticator uygulaması, kodlar kopyalandığında bu işlevi kullanıyor; böylece klavye açıldığında yakındaki bir kişi sırrı göremez, ancak değer diğer uygulamalar tarafından okunabilir durumda kalıyor. Android 10'dan bu yana arka planda pano erişimi yasaklandı ve ekranı yakalayan uygulamalar, kaydeden uygulama Android işletim sistemiyle aynı anahtarla imzalanmamışsa her seferinde açık izin gerektiriyor. Android 12'den itibaren, API düzeyi 31'de, pano verisine erişip onu yapıştıran bir uygulama kullanıcıya gösterilen bir toast iletisi tetikliyor.

Olası kötüye kullanım ve istenen kontroller

Araştırmacı, kötü amaçlı uygulama geliştiricilerinin ilişkili hesap adını belirlemek için açık kaynak istihbaratı kullanabileceğini veya kopyalanmış sırrı tek başına satabileceğini belirtti. Araştırmacı daha önce Google IssueTracker'da, Konum veya Bildirim ayarlarına benzer biçimde uygulama başına izinlerle pano erişim kontrolü isteyen bir özellik talebi açmıştı. Bu talep, otomatik olarak kapanan ve kolayca gözden kaçan bir toast bildiriminin potansiyel olarak hassas bir işlem için yeterli olmadığı görüşünü izliyordu. Blog başlangıçta Temmuz 2026'nın sonunda yazılmıştı, ancak yayın Android Güvenlik Ekibi hata çözümü beklenerek ertelenmişti.

Sources: toninoble.com