Siber güvenlik araştırmacıları, kolluk kuvvetleri ve kritik altyapı operatörleri tarafından kullanılan TETRA haberleşme protokolünde bir dizi kritik güvenlik açığı keşfetti. Bu zero-day zafiyetleri arasında CVE-2022-24401, CVE-2022-24402, CVE-2025-52940 ve diğerleri yer alıyor. Açıklar, Black Hat USA konferansında duyuruldu ve saldırganlara paket enjeksiyonu, şifre çözme ve anahtar kurtarma gibi yetenekler kazandırabiliyor.
Zero-Day Zafiyetlerinin Etkisi
Araştırmacılara göre, TETRA şifreleme mekanizmasındaki zafiyetler; replay attack (tekrar saldırısı), brute-force saldırıları ve uçtan uca şifrelenmiş trafiklerin çözülmesi gibi ciddi riskler oluşturuyor. Özellikle kritik altyapı güvenliği açısından, bu açıklar saldırganlara zararlı yazılım yükleme veya veri enjeksiyonu yapma fırsatı tanıyabilir.
Etkilenen Sistemler ve CVE Detayları
- CVE-2025-52940 – Uçtan uca şifrelenmiş ses trafiği tekrar saldırılarına açık.
- CVE-2025-52941 – Zayıflatılmış AES-128 şifreleme, etkin anahtar entropisini 56 bit’e düşürüyor.
- CVE-2025-52942 – Şifrelenmiş SDS mesajlarında tekrar koruması yok.
- CVE-2025-52943 – TEA1 anahtarı üzerinden TEA2/TEA3 trafiğinin çözülmesi mümkün.
- CVE-2025-52944 – Mesaj kimlik doğrulama eksikliği, sahte ses ve veri paketleri enjeksiyonuna yol açabiliyor.
Ek olarak, Sepura SC20 serisi TETRA cihazlarında tespit edilen üç zafiyet, fiziksel erişim sağlanması durumunda yetkisiz kod çalıştırma ve şifreleme anahtarlarının ele geçirilmesine imkân tanıyor.
Siber Saldırı Riskini Azaltma ve Önerilen Önlemler
Siber güvenlik uzmanları, bu tip kritik güvenlik açıklarının etkilerini azaltmak için şu önlemleri öneriyor:
- Zayıflatılmış şifreleme algoritmalarını devre dışı bırakmak (TEA1)
- Tüm AIE anahtarlarını yenilemek
- TETRA üzerinden veri taşınırken ek bir VPN veya TLS katmanı kullanmak
- Daha güvenli uçtan uca şifreleme çözümlerine geçiş yapmak
- Güvenlik güncellemeleri yayınlanır yayınlanmaz sistemlere uygulamak
Sonuç
Bu bulgular, kritik altyapı güvenliği ve kolluk kuvvetleri iletişimi için güçlü şifreleme standartlarının ne kadar hayati olduğunu bir kez daha gözler önüne seriyor.
Henüz zararlı yazılım kampanyalarında istismar edildiğine dair kanıt bulunmasa da, zafiyetlerin niteliği nedeniyle acil aksiyon alınması şart.