O2 uk yamalar hata sızan mobil kullanıcı konumu çağrı meta veriler

O2 UK’nin Volte ve WiFi çağrı teknolojilerini uygulamasında bir kusur, herkesin bir kişinin ve diğer tanımlayıcıların genel konumunu hedefi arayarak ortaya çıkarmasına izin verebilir.

Sorun, kusurun 27 Mart 2017’den beri O2 UK’nin ağında olduğunu söyleyen ve dün çözüldüğünü söyleyen güvenlik araştırmacısı Daniel Williams tarafından keşfedildi.

O2 UK, Virgin Media O2’ye ait bir İngiliz telekomünikasyon hizmet sağlayıcısıdır. Mart 2025 itibariyle şirket, İngiltere genelinde yaklaşık 23 milyon mobil müşteriye ve 5.8 milyon geniş bant müşterisine sahip olduğunu ve ülkenin ana sağlayıcılarından biri olarak konumlandırdığını bildirdi.

Mart 2017’de firma, çağrılar sırasında daha iyi ses kalitesi ve hat güvenilirliği için “4G Calling” olarak markalı IP Multimedya Alt Sistemi (IMS) hizmetini başlattı.

Bununla birlikte, Williams böyle bir çağrı sırasında trafiği analiz ederken keşfettiği gibi, iletişim kuran taraflar arasında değiştirilen sinyal mesajları (SIP başlıkları) IMSI, IMEI ve hücre yeri verileri de dahil olmak üzere çok ayrıntılı ve açıklayıcıdır.

Williams, “Ağdan aldığım yanıtlar son derece ayrıntılı ve uzundu ve daha önce diğer ağlarda gördüğüm hiçbir şeye benzemiyorlardı.”

“Mesajlar, O2 (Mavenir UAG) tarafından kullanılan IMS/SIP sunucusu gibi sürüm numaraları, C ++ hizmetleri tarafından ortaya çıkan, bir şeyler ters gittiğinde çağrı bilgilerini işleyen zaman zaman hata mesajları ve diğer hata ayıklama bilgilerini içeriyordu.”

Kullanıcıları arayarak bulmak

Köklü bir Google Pixel 8’de ağ sinyali Guru (NSG) uygulamasını kullanarak Williams, bir çağrı sırasında değiştirilen ham IMS sinyal mesajlarını ele geçirdi ve çağrı alıcısının bağlı son hücre kulesini bulmak için hücre kimliğini kodladı.

Daha sonra, kulenin coğrafi koordinatlarını bulmak için hücre kulesi haritaları sağlayan kamu araçları kullandı.

Kule kapsamının yoğun olduğu kentsel alanlar için doğruluk 100 m2’ye (1076 ft2) ulaşacaktır. Kırsal alanlarda, coğrafi lokasyon daha az kesin hale gelecektir, ancak yine de hedef için açıklayıcı olabilir.

Williams, Copenhag, Danimarka’da bir test konusu bulduğu için hedef yurtdışında da çalıştı.

O2 uk düzeltmeyi onaylar

Williams, bulgularını bildirmek için 26 ve 27 Mart 2025’te O2 İngiltere ile temasa geçtiğini ve cevap almadığını söyledi.

Son olarak, bugün daha önce O2 UK’den sorunun düzeltildiğini doğrudan onayladı ve bunu test yoluyla doğruladı.

BleepingComputer’a yaptığı açıklamada, bir Virgin Media sözcüsü, müşterilerin kendilerini korumak için herhangi bir işlem yapması gerekmediğini belirterek bir düzeltme uygulandığını doğruladı.

Virgin Media O2, “Mühendislik ekiplerimiz birkaç hafta boyunca bir düzeltme üzerinde çalışıyor ve bir düzeltme üzerinde çalışıyor – bunun tam olarak uygulandığını doğrulayabiliriz ve testler, müşterilerimizin herhangi bir işlem yapması gerekmediğini ve müşterilerimizin herhangi bir işlem yapması gerekmediğini gösterebilir.” Dedi.

BleepingComputer, O2’ye bu kusurun sömürüldüğünü ve müşterileri buna göre bilgilendirmeyi planlayıp planlamadıklarını sordu, ancak cevap almadık.