Categories: Teknoloji

Yazmadığın koda güvenme

Yazılım projeleri GitHub Actions üzerinden indirilen güvensiz yapılar nedeniyle tedarik zinciri güvenliği riskiyle karşı karşıya

Siber güvenlik araştırmacıları GitHub Actions platformunda, saldırganların yazılım projelerine kötü amaçlı kod ekleyerek bir tedarik zinciri saldırısı başlatmalarını sağlayabilecek riskler belirlediler.

 

Kodların GitHub Actions platformu tarafından depolanma şekli, saldırganların bu parçaları indirirken yeterli filtreleme gerçekleştirmeyen (CI/CD – sürekli tümleştirme ve sürekli teslim) iş akışlarıyla yazılım projelerine kötü amaçlı kod eklemesine olanak tanıyabiliyor. Araştırmacılar, savunmasız binlerce depo tarafından kullanılan, birkaç popüler kod parçacığı indirme komut dosyası tespit ettiler. Artefact zehirlenmesi olarak tanımlanan büyük bir risk ile ilgili uyarılarda bulundular. Artefact zehirlenmesinde saldırganlar meşru bir yapıyı kötü amaçlı bir kodla değiştirerek tedarik zinciri saldırısı başlatabiliyorlar. 

 

ESET Türkiye Teknik Müdürü Gürcan Şen channelasia.tech’de de yer alan konu ile ilgili şu açıklamada bulundu: "Tedarik zinciri saldırıları genellikle o kadar hızlıdır ki, kurban herhangi bir şeyin gerçekleştiğinin farkında bile olamadan saldırganlar içeri girip çıkabilirler. Saldırganların meşru kodu kendi kötü amaçlı kodlarıyla değiştirdiği artefact zehirlenmesinde, kodun başka biri tarafından gözden geçirilmiş olabileceğine inanıldığı için sorun büyüyor. Kod kontrol edilmediğinden dolayı bir tedarik zinciri boyunca farkedilmiyor.  GitHub tüm dünyada kullanılıyor ve varsayılan bir koruma seviyesi bulunuyor. Ancak bu, kodun her zaman kötü niyetli içerikten temiz olacağı anlamına veya bu sorunun ilk defa oluştuğu anlamına gelmiyor. Bu nedenle, güvende kalmak için iş akışlarını daha sıkı filtreleme ile güncellenmesi gerekiyor. Hash değerleri, tutarsızlıkları hızlı bir şekilde tespit edebilme konusunda kullanıcıya fayda sağlayabilir. Dikkatli ve platformda uyanık olmak genellikle en iyi korunma yöntemidir. Ayrıca, geliştiriciler hiçbir koda, özellikle de yazmadıkları koda asla güvenmemeliler."

 

Kaynak: (BYZHA) – Beyaz Haber Ajansı

Recent Posts

Taksim Otelleri

Taksim, İstanbul’un kültürel ve turistik merkezlerinden biri olarak bilinir ve bu sebeple pek çok konforlu…

16 saat ago

Yılbaşı İçin Hediye Fikirleri

Yeni yıl, sevdiklerimizle geçirdiğimiz anların kıymetini bir kez daha hissettiğimiz, yeni başlangıçlara adım attığımız özel…

2 gün ago

Marka ve İletişim Konferansı için geri sayım başladı!

Markalaşma ve iletişimde geleceği yakalayın: İlham veren konferans sizi bekliyor!

4 gün ago

Girişimcilerin Büyük Hataları Etkinliği 18 Aralık’ta İKÜ’de!

Girişimcilerin Büyük Hataları etkinliği 18 Aralık'ta İstanbul Kültür Üniversitesi'nde! Kaçırmayın!

6 gün ago

Fakı Mehmet Efendi, şube sayısını 42’ye çıkardığını duyurdu

Fakı Mehmet Efendi Baklavaları, şu anda İstanbul metro istasyonlarında hizmet verdiği şube sayısını 42’ye çıkardığını…

6 gün ago

Pendik Tıkanıklık Açma ve Su Kaçağı Tespiti

Evinizde veya iş yerinizde meydana gelen tıkanıklık sorunları, günlük yaşamınızı olumsuz etkileyebilir. Pendik tıkanıklık açma…

7 gün ago