ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 29 Eylül 2026 tarihinde Viidure Dashcam Android uygulamasında iki güvenlik açığı tespit edildiğini duyurdu; bu açıklardan biri, uygulamanın derlenmiş kodunun içine gömülü sabit kodlanmış bulut depolama kimlik bilgilerini açığa çıkaran maksimum önem derecesine sahip bir açık.
Tespit Edilen Açıklar
CVSS 10.0 puanıyla derecelendirilen CVE-2026-96587, platformun bulut depolama altyapısına -bellenim yazılımı ve uygulama ikili dosyaları dahil- tam okuma, değiştirme ve silme erişimi sağlayan sabit kodlanmış kimlik bilgilerinin kullanılmasından kaynaklanıyor. İkinci açık olan CVE-2026-94204 (puanlama sürümüne bağlı olarak CVSS 7,5 ile 8,7 arası), herkese açık okuma erişimine ayarlanmış hatalı yapılandırılmış bir bulut depolama kovasından kaynaklanıyor ve kullanıcı kayıtlarını, canlı araç kamerası görüntülerini, uygulama paketlerini ve bellenim dosyalarını internetteki herkese açık hale getiriyor. Açıkların CISA’ya bildirilmesi araştırmacı Bugrahan Karahan’a atfediliyor.
Kimler Etkileniyor
Danışma belgesi, dünya çapında Ulaştırma Sistemleri kritik altyapı sektöründe kullanılan Viidure Dashcam Android Uygulaması’nın 3.3.1.260403 ve öncesi sürümlerini kapsıyor. Açığa çıkan kimlik bilgileri ve depolama kovası platform genelinde paylaşılan bir altyapı olduğundan, bu açıklar bireysel cihazlarla sınırlı olmaktan ziyade sistemik nitelikte olup uygulamanın potansiyel olarak tüm kullanıcılarını etkileyebiliyor.
Risk Azaltma
CISA, Viidure’un koordinasyon girişimlerine yanıt vermediğini ve şu anda herhangi bir yama bulunmadığını belirtti. Ajansın standart geçici rehberliği geçerli: ağ erişilebilirliğini en aza indirin, bağlı cihazları iş ağlarından yalıtın ve gerekli uzaktan erişim için VPN kullanın. Güvenlik araştırmacıları ayrıca uygulama üzerinden hassas görüntülerin depolanmasından kaçınılmasını ve bir düzeltme yayınlanana kadar uygulamanın kaldırılmasının değerlendirilmesini öneriyor.
Bugüne kadar bu açıklardan herhangi birinin aktif olarak istismar edildiğine dair kamuya açık bir bildirim yapılmadı; ancak maksimum CVSS puanı ile yanıt vermeyen bir üreticinin birleşimi, etkilenen kullanıcıları net bir düzeltme takvimi olmadan bırakıyor. Araç kamerası ve bağlantılı cihazlar alanındaki diğer gelişmeler SectechMedia Teknoloji Haberleri arşivinde takip edilebilir.
Bir yanıt yazın