Microsoft’un OneDrive File Picker (Dosya Seçici) aracında kritik bir OAuth kapsamı zaafiyeti tespit edildi. Bu açık, kullanıcıların yalnızca seçili dosyaya erişileceğine inandığı durumlarda Zoom, Slack, ChatGPT, Trello, ClickUp gibi üçüncü taraf uygulamalara tüm OneDrive içeriğini paylaşma izni verebilir. (youtube.com, cybersecuritynews.com)
Açığın Teknik Detayları
- Aşırı geniş OAuth izinleri: File Picker genellikle
Files.Read.AllveyaFiles.ReadWrite.Allgibi tüm sürücüye erişim izni talep ediyor. Bu izinler, kullanıcı sadece tek bir dosya ile işlem yapmak istese bile, tüm klasör ve dosyalara erişilebilmesine olanak tanıyor. (cybersecuritynews.com) - Yanıltıcı izin pencereleri: Kullanıcı ekranda “belirli dosyalar”ı paylaşacağını düşünürken, aslında tüm bulut içeriğine müsaade etmiş oluyor—bu durum güvenlik danışmanları tarafından “tam kapsamlı izinden daha büyük bir sorun” olarak nitelendiriliyor.
- Güvensiz token depolama: Eski sürümler (6.0–7.2) token’ları URL parçacıklarında veya
localStorageiçinde saklıyor. 8.0 sürümü ise token’ları şifrelenmemiş haldesessionStorageiçinde bırakıyor. Bu da ileri seviye saldırılara kapı açıyor. (secureworld.io)
Etkilenen Uygulamalar
Araştırmaya göre, ChatGPT, Slack, Trello, ClickUp gibi yüzlerce popüler uygulama bu açıkla beraber kullanıcıların tüm OneDrive verilerine erişiyor. Bu durum potansiyel olarak milyonlarca kullanıcıyı etkileyebilir. (cybersecuritynews.com)
Microsoft’un Yanıtı
- Microsoft, açığı doğruladı ancak henüz resmi bir düzeltme sunulmadı.
- “Kullanıcının rızası olmadan erişim sağlanmıyor” savunması yapıldı, fakat gelecekteki iyileştirmeler üzerinde çalışılıyor.
Alınması Gereken Önlemler
1. Bireysel Kullanıcılar İçin
- [Microsoft Hesap Ayarları → Gizlilik → Uygulama Erişimi] bölümünden gereksiz uygulamaların izinlerini inceleyin ve kaldırın.
2. Kurumlar İçin
- Admin onayını zorunlu hale getirin.
- OAuth kapsamlarını
Files.Read.AllveFiles.ReadWrite.Alldışına taşımayın. - Uygulama erişimlerini Entra (Azure AD) üzerinden düzenli olarak denetleyin. (secureworld.io)
3. Geliştiriciler İçin
- Fine‑grained OAuth kapsamları olmadığı sürece
Files.ReadWrite.Allgibi geniş izinlerden kaçının. - Refresh Token kullanımını minimumda tutun (offline_access kapsamını eklemeyin).
- Token’ları mümkünse şifrelenmiş saklayın; sessionStorage yerine güvenli depolama tercih edin. (oasis.security, secureworld.io)
Özet
| Nokta | Durum |
|---|---|
| Kim etkileniyor? | OneDrive File Picker kullanan tüm third‑party uygulamar |
| Ne oluyor? | OAuth aşırı geniş kapsamlarla kullanılınca tüm bulut erişimi riski ortaya çıkıyor |
| Çözüm yol haritası nedir? | Kullanıcı ve kurum izin kontrolleri; geliştirici düzeyinde token güvenliği ve izin sınırlandırmaları |
