Kaspersky, GitHub Actions iş akışlarında 250 binden fazla potansiyel güvenlik riski tespit etti
Kaspersky'nin Küresel Araştırma ve Analiz Ekibi (GReAT), GitHub'da en fazla yıldız alan depolardaki GitHub Actions iş akışlarını kapsamlı biçimde inceledi. Kaspersky Container Security'nin kısa mühlet evvel kullanıma sunulan yeni tahlil yeteneklerinden yararlanan araştırmacılar, kritik yapılandırma yanlışları barındıran sekiz depo tespit etti. Açık kaynak bileşenleri, çağdaş yazılım geliştirme süreçlerinin temel yapı taşları arasında yer alıyor. Lakin bu bileşenler, yazılım tedarik zincirine yönelik ataklar için kapalı riskler de barındırıyor. Bunun en dikkat cazibeli örneklerinden biri, TeamPCP tarafından Mayıs 2026'da gerçekleştirilen Mini Shai-Hulud kampanyası oldu. Kelam konusu atakta GitHub Actions tabanlı derleme (build) süreçlerindeki zafiyetlerden yararlanılarak TanStack, Mistral AI ve OpenSearch üzere projeleri etkileyen 170'ten fazla npm ve PyPI paketi ele geçirildi. Genel olarak yanlış yapılandırılmış GitHub Actions iş akışları, sağlam geliştirme süreçlerini saldırganlar için kritik giriş noktalarına dönüştürebiliyor. Bu durum, otomatik iş akışlarının ele geçirilmesine, üretim ortamlarına berbat maksatlı kod eklenmesine yahut kritik altyapı anahtarlarının yetkisiz bireylerin eline geçmesine sebep olabiliyor.GitHub Actions iş akışlarına yönelik değerlendirmesini tamamlayan Kaspersky GReAT uzmanları, en çok yıldız alan 30.000 depoda 130 binden fazla CI/CD iş akışı incelendi. Kaspersky Container Security'nin son güncellemesiyle gelen özel tarama kurallarından yararlanan araştırmacılar, daima entegrasyon ve daima teslimat (CI/CD) süreçlerinde 250 binden fazla potansiyel yanılgılı yapılandırma saptadı. Bu sonuçlar, inançlı olmayan yapılandırma uygulamalarının yaygınlığını ortaya koyuyor. Analiz edilen depoların sırf %10'unda rastgele bir güvenlik uyarısı tespit edilmedi.Tespit edilen bulguların yüzde 59,8'i düşük, yüzde 39,8'i orta ve yüzde 0,4'ü ise yüksek risk kategorisinde yer aldı. En yaygın problemler; Varsayılan olarak verilen yahut kapsamı gereğinden fazla geniş erişim müsaadeleri, bağımlılıkların makul sürümlere sabitlenmemesi (version pinning) ve iş akışı ayarlarındaki güvenlik eksiklikleri oldu. Daha az sayıda depoda ise hassas bilgilerin açığa çıkmasına yol açabilecek yapılandırmalar, inançlı olmayan çalıştırma ayarları ve harici dataların kâfi doğrulama yapılmadan işlenmesi üzere, çok daha önemli güvenlik ihlallerine sebep olabilecek riskler tespit edildi.Araştırmacılar, yüksek risk kategorisinde bedellendirilen yaklaşık 200 depo üzerinde yaptıkları ayrıntılı incelemede, yazılım tedarik zincirinin tehlikeye girmesine sebep olabilecek kritik güvenlik meseleleri barındıran sekiz depo belirledi. Bu depolar; kurumsal yapay zekâ entegrasyonları, geliştirici ve otomasyon hizmetleri ile güvenlik test araçları üzere farklı alanlarda kullanılan projeleri kapsıyor. Tespit edilen kritik bulguların tamamı, sorumlu açıklama (responsible disclosure) prensipleri doğrultusunda geliştiricilerle paylaşıldı.Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Leonid Bezvershenko, hususa ait yaptığı açıklamada şunları söyledi: “Geçtiğimiz yıl, inançlı CI/CD yapılandırma yönergelerine uyulması halinde basitçe önlenebilecek önemli tedarik zinciri hücumlarına şahit olduk. Ortaya çıkardığımız bu problemler direkt istismar edilebilir açıklar manasına gelmese de, geliştiricilerin yapılandırmalarını gözden geçirmesi ve güçlendirmesi gereken zayıf noktalara işaret ediyor. Kuruluşlar bu açıkları erkenden tespit ederek çok daha dirençli CI/CD çizgileri inşa edebilir ve tedarik zinciri ihlali riskini azaltabilir. Konteyner güvenliği tahlilimiz için geliştirdiğimiz kurallar, bu boşlukların berbat niyetli şahıslarca suistimal edilmeden evvel belirlenmesi ve giderilmesi için pratik bir çerçeve sunuyor.”Kaspersky Container Security kullanıcıları, yanlışlı yapılandırmalardan kaynaklanan potansiyel güvenlik sıkıntılarını tespit etmek ve tesirlerini azaltmak için GitHub depo tarama özelliğinden yararlanabiliyor. Bu özellik direkt CI/CD iş akışlarına entegre edilebildiği üzere bağımsız (standalone) modda da kullanılabiliyor.Kaspersky Container Security hakkında daha fazla bilgiye ilgili bağlantıdan ulaşabilirsiniz. Kaynak: (BYZHA) Beyaz Haber Ajansı