Güncelleme Tarihi: Haziran 2026
Güvenlik araştırmacıları, Anthropic'in popüler Claude Code GitHub Action'ında ciddi bir güvenlik açığı tespit etti. Bu açıktan yararlanan saldırganlar, yalnızca tek bir GitHub issue oluşturarak açık depoları ele geçirebiliyordu. Saldırı, hem action'ın depolandığı ana depoyu hem de bu action'ı kullanan downstream projeleri riske attı.
Zafiyet Nasıl İşliyor?
Güvenlik açığı, GitHub Action'ların çalıştırılma mantığında yatıyordu. Attacker'lar, zararlı bir GitHub issue açarak action'ın otomatik olarak çalıştırılmasını tetikleyebiliyordu. Action'ın güvenli olmayan input doğrulamasından faydalanan saldırganlar, komut enjeksiyonu gerçekleştirerek istemci tarafında kod yürütme elde edebiliyordu.
Bu durumun en tehlikeli yanı, Anthropic'in kendi action deposunda da aynı workflow'un kullanılmasıydı. Bu da saldırganların, zararlı kodu doğrudan action'a enjekte edebilmesine ve ardından bu action'ı kullanan tüm projeleri tehlikeye atmasına olanak tanıyordu.
Etki ve Riskler
Aşağıdaki riskler açıkça görülmektedir:
- Depoların Ele Geçirilmesi: Saldırganlar, açık depoları kontrol altına alabiliyor ve izinleri olmayan değişiklikler yapabiliyordu.
- Code Execution: Action'ın çalıştırıldığı her ortamda istemci tarafında kod yürütme gerçekleşiyordu.
- Tedarik Zinciri Saldırıları: Zararlı kod, action'ı kullanan tüm projelerde yayılabiliyordu.
- Veri Sızıntısı: Saldırganlar, sistemde saklanan hassas verileri ele geçirebiliyordu.
Anthropic'in Tepkisi ve Düzeltme
Araştırmacı RyotaK (GMO) tarafından bildirilen bu zafiyet, hızla kapatıldı. Anthropic, action'ın güncellenmiş bir sürümünü yayınlayarak güvenlik açıklarını düzeltti ve kullanıcıları acilen güncellemeye çağırmadı. Ayrıca, action'ın güvenlik açıklarını taramak için otomatik testler eklendi.
IT Profesyonelleri için Öneriler
Bu tür saldırılardan korunmak için aşağıdaki adımları takip etmeniz önemlidir:
- GitHub Action'ları Güncel Tutun: Eski ve güvenlik açıkları olan action'ları kullanmaktan kaçının. Düzenli olarak güncellemeleri kontrol edin ve güvenilir kaynaklardan action'ları indirin.
- Input Doğrulamasını Sağlayın: Action'larınızın güvenli olmayan input'ları kabul etmediğinden emin olun. Saldırı yüzeyini minimize edin ve girdileri sıkı bir şekilde doğrulayın.
- İzole Ortamlar Kullanın: Action'ları güvenilir ve izole edilmiş ortamlarda çalıştırın. Bu, potansiyel saldırıların etkisini sınırlandırır.
- Otomatik Güvenlik Testleri Uygulayın: Action'larınızı otomatik güvenlik taramalarına tabi tutun. Açık kaynaklı araçlar kullanarak güvenlik açıklarını erken tespit edin.
- Tedarik Zinciri Güvenliğine Odaklanın: Kullandığınız tüm third-party araçları ve bağımlılıkları inceleyin. Güvenilir kaynaklardan elde edildiğinden ve düzenli olarak güncellendiklerinden emin olun.
Sonuç
Claude Code GitHub Action'daki bu güvenlik açığı, tedarik zinciri saldırılarının ne kadar yıkıcı olabileceğini bir kez daha gösterdi. IT profesyonellerinin, güvenlik açıklarını minimize etmek ve tedarik zinciri saldırılarına karşı dirençli olmak için sürekli olarak güvenlik uygulamalarını güncellemeleri gerekmektedir. Bu tür olaylardan ders çıkararak, daha güvenli ve dayanıklı yazılım geliştirme ortamları oluşturabiliriz.
