Grok Build bağlantı paylaşımı, SpaceXSI verileri dahil binlerce uygulamayı ortaya çıkardı

Güvenlik firması Claroc, SpaceXSI'den bir kodlama aracısı olan Grok Build'in, paylaşılabilir bağlantılar aracılığıyla binlerce kullanıcının uygulama ve verilerini açığa çıkardığını söylüyor. Bağlantılar rastgele ifadeler kullanıyor, ancak bir tasarım hatası bu rastgeleliği alan adının sol tarafına yerleştiriyor ve pasif DNS hizmetlerinin bunları numaralandırmasına izin veriyor. Claroc, bulduğu 43.601 bağlantının 35.000'den fazlasının herkese açık olduğunu ve bunlara tıklanınca uygulamaların ve depolanmış verilerinin açıldığını söylüyor.

Claroc ne buldu

Claroc, açığa çıkan veriler arasında iç iş planları, reklam teklifleri, tıbbi sınav sonuçları, bir kruvaziyer mutfak kontrol listesi ile çalışan adları ve kimlik numaralarının bulunduğunu söyledi. SpaceXSI tarafından geliştirilen 24 uygulama buldu; bunlar arasında gizli bir işe alım planı, 594 hesaptan oluşan bir satış bölgesi haritası, iç sistem adresleri ve reklam teklifleri vardı. Firma ayrıca etkilenen kuruluşları ve verileri de listeledi: 3.784 işçiye ait tıbbi sınavı olan bir Perulu inşaat şirketi, 22 teknisyeni adıyla belirten Tesla servis merkezi puan kartları, 108 kişilik bir Donanma lojistik destek listesi, mürettebatı ad ve çalışan kimliğiyle listeleyen lüks bir kruvaziyer kontrol listesi, yaklaşık 3.565 çalışanlı bir sağlık personel listesi, donanım parça listesi içeren gizli bir perakende teklifi, bir havacılık ve savunma grubunun yük panosu ve İSG eğitim matrisi, yaklaşık 583 potansiyel müşterili bir ev inşaatı satış arama listesi, 37 gelişmeyi izleyen Malezyalı bir holding şirket proje izleyicisi, yaklaşık 4.000 siparişli bir otomobil taşıma teklif masası ve gizli bir IP transit teklifi.

Hata nasıl çalışıyor

Grok Build bağlantıları, geliştiricilerin uygulamaları hızlıca paylaşmasını sağlamak için tasarlanmıştır. Sol taraf iki veya daha fazla rastgele üretilen 'zar sözcükleri' içerir, sağ taraf ise grok.me'dir. Claroc, rastgeleliğin alan adının solunda yer almasının, pasif DNS hizmetlerinin daha önce görülmemiş URL'ler için aramaları yakalamasına ve aramasına izin verdiğini söyledi. Üç zar sözcüğünden oluşan bir ifadenin yaklaşık 38 bit entropiye sahip olduğunu, ancak bu yerleştirmenin amaçlanan korumayı bozduğunu söyledi. Google tarzı bağlantılar rastgele öğeyi yol içine koyar; Claroc, bunun pasif DNS arayıcılarına görünmez kalmasını sağlayacağını söyledi.

Yanıtlar ve daha geniş risk

Claroc, SpaceXSI'yi Pazar günü bilgilendirdi ve daha sonra X'te Elon Musk ve Grok yöneticisi Matt Palmer'ı etiketledi. SpaceXSI, Ars Technica sorular gönderdikten sonra birkaç saat içinde bağlantıları kaldırmaya başladı ve 24 uygulamanın tümünün bağlantıları yayın tarihinde 'app not found' hatası döndürüyordu. Bir Cursor temsilcisi, Grok Build uygulamalarının varsayılan olarak özel olduğunu ve oluşturucu paylaşmayı seçmedikçe hiçbir şeyin herkese açık olmadığını söyledi, ancak Claroc'un testleri bu ifadeyle çelişti. Claroc, Lovable, Bolt ve Replit'in de uygulamalara kendi web adreslerini verdiğini, bu nedenle aynı DNS kayıtlarının onları da açığa çıkarabileceğini söyledi; ancak en hassas şirket verileri Grok'ta vardı. Claude, ChatGPT ve Gemini'nin daha güvenli uygulamayı izlediğini ve gizli rastgeleliği URL yolunda tuttuğunu söyledi. Claroc kurucu ortağı ve CTO'su Asaf Aprozper, etkilenen şirketleri bilgilendirdiğini söyledi; lüks kruvaziyer şirketinin güvenlik ekibi de açığa çıkmayı sınırlamak için zaten çalışıyordu. Grok Build ile paylaşılabilir bağlantı kullanan herkes, bir uygulamayı geniş ölçüde kullanılabilir hale getirmeyi amaçlamıyorsa 'invite others' seçeneğini seçmelidir.

Kaynaklar: Ars Technica