Android, Linux, macOS ve Windows'ta onlarca yıllık dosya güvenliği açıkları bulundu

Avusturya'daki Graz Teknik Üniversitesi'nden araştırmacılar, Android, Linux, macOS ve Windows'un dosya bildirim alt sistemlerinde makinadaki diğer kullanıcıların ne yaptığını sızdıran açıklar buldu.

Araştırmacılar ne buldu

Bu alt sistemler, bir dosyanın ne zaman açıldığını, değiştirildiğini veya silindiğini uygulamalara bildirir. Dosya içeriğini açığa çıkarmazlar; ancak olay akışı bir yan kanal gibi çalışır ve ayrıcalıksız bir saldırganın diğer kullanıcıların etkinliğini çıkarsamasına olanak tanır. Etkilenen bileşenler Windows'ta ReadDirectoryChangesW (2000), Linux'ta inotify (2005), macOS'ta FSEvents (2007) ve Android'de FileObserver (2008).

Graz Teknik Üniversitesi doktora öğrencisi Sudheendra Raghav Neela, The Register'a "Bu işletim sistemlerinde onlarca yıllık hatalar bulduk; hepsi her modern işletim sisteminin gönderdiği dosya bildirim alt sistemlerinde kökleniyor" dedi.

Saldırı senaryoları

Dosya olayı verileriyle saldırgan, kullanıcının girdiğini geri çıkaran tuş vuruşları arası zamanlama saldırıları yapabilir, ziyaret edilen siteleri parmak iziyle tespit edebilir ya da arayüz aldatma hileleriyle kimlik bilgilerini çalabilir. Linux'ta okunabilir /dev/input dizinini izlemek her tuş vuruşunda bildirim üretir; ekip bunu yedi kullanıcıda yüzde 93,1–100 doğrulukla, uzak SSH oturumunda ise yüzde 100 doğrulukla çalışan bir saldırıya dönüştürdü. İlk 100 sitede parmak izi tespiti yüzde 87,9'a ulaştı.

Android'de FileObserver, uygulama başına depolamayı yalıtmak için tasarlanan FUSE katmanını aşıyor; bu yüzden izinsiz bir uygulama, örneğin WhatsApp'ın özel klasörünü izleyip dosya adlarından fotoğraf ve belgelerin ne zaman gönderildiğini veya silindiğini görebiliyor. Windows'ta C:\ kök dizinini izlemek, sistemin herhangi bir yerinde dokunulan her dosyanın tam yolunu izinlerden bağımsız olarak bildiriyor — bu da başka bir kullanıcının Firefox'ta hangi siteleri ziyaret ettiğini yüzde 97,8 doğrulukla izlemeye yetiyor. En az bilgiyi macOS verdi: özel dizinleri okumak için bir atlatma bulunamadı.

Yamalar ve yanıtlar

Linux'taki açık CVE-2025-68788, Aralık 2025'te altı çekirdek dalında, aralarında 5.10.248, 6.6.120 ve 6.18.3 de olmak üzere kısmen kapatıldı: yama, /dev/ içindeki özel dosyalar için "access" ve "modify" olaylarının üretilmesini durduruyor. Android için henüz bir düzeltme yayımlanmadı. Microsoft, Windows'taki davranışı "tasarım gereği" olarak nitelendirdi; bu yanıt Pwnie Awards 2026'da en kötü üretici yanıtı dalında aday gösterildi.

Yazarlar, yetki kontrollerinin genişletilmesini ve Windows ile macOS çekirdeklerine bir izin sistemi eklenmesini istiyor. Makale kasım ayında Lahey'de düzenlenecek ACM CCS 2026'da sunulacak.