Bing’de Tüm Kullanıcıları Tehlikeye Atan Bir Açık Keşfedildi

OpenAI’a milyonlarca dolarlık yatırım yapan Microsoft, Bing başta olmak üzere pek çok uygulamasına ve yazılımına yapay zekâ dayanağı getirdiğini açıklamıştı. Bu yazılımlara ek olarak daima olarak gelişen ve soru kapasitesi arttırılan Bing’de kritik bir açık tespit edildi.

Bing’in limitlerini zorlamaya çalışan beyaz şapkalı hackerlar, Bing’in arama sonuçları değiştirebilecekleri hatta tüm Microsoft hesaplarının bilgilerine erişebileceklerini hayati kıymete sahip bir açığı keşfettiler. Üstelik bu açığıa Microsofft Azure’u kurcalarken kazara bile keşfedebilirsiniz.

Dünya üzerindeki tüm kullanıcıların e-postalarını zahmetsizce okuyabilirsiniz

Son yılların öne çıkan siber güvenlik firmalarından birisi olan Wiz’in beyaz şapkalı hackerlarından birisi olan Hillai Ben-Sasson ve takımı, Microsoft’un Azure sistemlerinde araştırma yaparken “Bing Trivia” ismi verilen bir sistemi denetim edebilecekleri bir ayarı keşfediyor. Bing Trivia’yı aktifleştiren takım, sistemin Bing’in arama sonuçlarını değiştirmek için kullanılabileceğini belirtiyor. Aslen Bing’de oluşan yanılgıları anında gidermek için oluşturulan bu yazılımı kullanan Ben-Sasson ve takımı, çok daha önemli bir açıkla da karşılaştı.

Bing’in gönderdiği dataları inceleyen takım, garip bir formda yeni Bing’in Office 365’in bağlantı sistemlerini kullandığını fark etti. Bu sistemi yakından inceleyen araştırmacılar, bu ağı kullanarak istedikleri kişinin bilgisayarından alınacak minik bir data sayesinde kullanıcının Outlook e-postalarına, takvimine, Teams mesajlarına, OneDrive evraklarına ve hatta Word evraklarına bile erişebileceklerini fark etti.

Neyse ki Microsoft açığı anında kapattı

Elde ettikleri bilgileri ve açığın kapatılmasıyla ilgili tekliflerini belgeleyen Ben-Sasson ve grubu, Microsoft’a bir e-posta göndererek durumu açıkladıklarını ve birkaç saat içerisinde açığı giderildiğine dair geri bildirim aldıklarını belirtti. Ayrıyeten Ben-Sasson da açığın kapatıldığını doğruladı.

Microsoft yetkilileri gruba 40.000 dolar ödül verirken Ben-Sasson ise bu mükafatın yardım kurumlarına bağışlanacağını açıkladı. Pek çok kullanıcının ferdî datalarına tehlikeye atabilecek bu kritik açık, böylece kötü niyetli şahıslar tarafından keşfedilmeden kapatılmış oldu.