GerriScary Açığı Google’ın Açık Kaynak Kod Denetim Sistemini Tehdit Etti
Güvenlik araştırmacıları, Google’ın açık kaynak kod inceleme platformu Gerrit’te ciddi bir güvenlik açığı keşfetti. GerriScary adı verilen bu açık, saldırganların bazı projelere insan denetimi olmadan zararlı kod enjekte etmesine olanak sağladı. Chromium, ChromiumOS, Dart ve Bazel gibi en az 18 merkezi projeyi etkileyen açık, yazılım tedarik zincirinde önemli bir zafiyet oluşturdu.
GerriScary Açığı Kritik Projeleri Hedef Alıyor
Tenable araştırmacıları, Gerrit’teki addPatchSet adlı yetkilendirme ayarının yanlış yapılandırıldığını fark etti. Bu ayar, yama kümeleri arasında etiketlerin kopyalanmasına olanak tanıyordu. Söz konusu yapılandırma, sürüm adayları arasında güvenlik kontrolleri atlanarak otomatik birleştirme işlemlerinin kötüye kullanılmasına yol açtı.
Bu yapı sayesinde saldırganlar, herhangi bir kullanıcı etkileşimi gerektirmeden kodlara müdahale edebildi. Güvenlik açığı, sıfır tıklama (zero-click) tedarik zinciri saldırısı niteliği taşıyor. Araştırma ekibi, bu tür açıkların özellikle otomasyonun yoğun şekilde kullanıldığı açık kaynak platformlarda ciddi tehdit oluşturduğunu belirtti. Yazılım geliştirme süreçlerinde güvenin ne kadar kritik olduğu bir kez daha ortaya çıktı.
Tespit edilen açık, milyonlarca kullanıcıya ulaşan projelerin doğrudan etkilenmesine neden oldu. Saldırganlar aşağıdaki riskleri oluşturabilecek bir imkân elde etti:
- Chromium, Bazel ve Dart gibi projelere doğrudan zararlı kod enjekte edebilme
- Etiket miras alma özelliği sayesinde insan incelemesini tamamen atlayabilme
- Otomatik süreçler üzerinden doğrudan üretime geçecek sürümleri manipüle edebilme
Tenable yetkilileri, bu tür açıkların sadece Google için değil, Gerrit platformunu kullanan tüm kurumlar için tehdit oluşturduğunu belirtti.
💡Google, GerriScary açığını tespit ettikten sonra gerekli düzeltmeleri uyguladı. Ancak Tenable, benzer sorunların yaşanmaması için Gerrit kullanıcılarına şu adımları öneriyor:
addPatchSetgibi varsayılan izinleri mutlaka gözden geçirin- Etiketlerin yama kümeleri arasında kopyalanmasını sınırlandırın ya da tamamen devre dışı bırakın
- Otomatik iş akışlarını denetleyerek sürüm yarış koşullarını (race condition) önleyin
Güvenlik uzmanı Liv Matan, sistemlerin giderek daha karmaşık hâle geldiğini ve açıkların erken fark edilip kapatılmasının her zamankinden daha önemli olduğunu vurguladı.
GerriScary açığı, açık kaynak yazılım geliştirme süreçlerinin ne kadar dikkatle izlenmesi gerektiğini ortaya koydu. Platformlar ne kadar büyük ve yaygın kullanıma sahip olursa olsun, yapılandırma hataları saldırı yüzeyini genişletebiliyor.
Kod inceleme ve sürüm süreçlerinde sıkı güvenlik politikaları uygulanmazsa, zararlı kod parçaları görünmeden sistemlere sızabiliyor. Bu durum, yazılımın nihai kullanıcıya ulaşana kadar birçok aşamada denetlenmesi gerektiğini net bir şekilde gösteriyor.
