JavaScript paket yöneticisi NPM, son günlerde iki ayrı tedarik zinciri saldırısına maruz kaldı. Güvenlik araştırmacıları, popüler Jscrambler ve AsyncAPI projelerine ait paketlerin ele geçirildiğini ve kötü amaçlı kodların yayıldığını tespit etti. Bu saldırılar, yazılım tedarik zincirine yönelik tehditlerin ne denli ciddi boyutlara ulaştığını bir kez daha gözler önüne seriyor.
Jscrambler tarafında yaşanan saldırıda, 8.6.2 sürümündeki jscrambler-webpack-plugin, gulp-jscrambler 8.6.2, grunt-jscrambler 8.5.2 ve jscrambler-metro-plugin 9.0.2 gibi paketlerin zehirlendiği belirtildi. Bu paketleri bağımlılık olarak kullanan projeler de risk altında. Jscrambler, JavaScript uygulamalarını korumak için kullanılan bir araç olduğundan, saldırının etkisi oldukça geniş olabilir.
AsyncAPI ise açık kaynaklı bir referans spesifikasyonu ve olay odaklı mimariler için araç seti olarak biliniyor. Saldırı, Salı günü gerçekleşti ve Upwind, Socket.dev, Wiz, StepSecurity ve Aikido Security gibi birden fazla güvenlik firması tarafından bağımsız olarak tespit edildi. Saldırganların giriş noktası olarak savunmasız bir GitHub Actions iş akışını kullandığı anlaşıldı.
Sistem Güvenliği
Tedarik zinciri saldırıları, yazılım geliştirme sürecinde kullanılan üçüncü taraf bileşenlerin kötü niyetli kodlarla enfekte edilmesiyle gerçekleşiyor. Bu tür saldırılar, yıllardır var olan bir tehdit olsa da, son dönemde artan popülaritesiyle birlikte daha sık görülmeye başlandı. Özellikle NPM gibi büyük paket yöneticileri, saldırganlar için cazip hedefler haline geliyor.
Geliştiricilerin bu tür saldırılara karşı alabileceği bazı önlemler bulunuyor. Öncelikle, kullanılan paketlerin kaynağını doğrulamak ve yalnızca güvenilir kaynaklardan yüklemek önemli. Ayrıca, bağımlılıkların güncel tutulması ve güvenlik açıkları için düzenli taramalar yapılması gerekiyor. Paket imzaları ve checksum kontrolleri de ek bir güvenlik katmanı sağlayabilir.
Bu saldırılar, yazılım tedarik zincirinin ne kadar kırılgan olduğunu ve herhangi bir noktadaki zafiyetin tüm ekosistemi etkileyebileceğini gösteriyor. Özellikle büyük projelerde kullanılan paketlerin ele geçirilmesi, binlerce uygulamayı riske atabiliyor. Geliştiricilerin bu tür olaylara karşı hazırlıklı olması ve güvenlik politikalarını sürekli güncellemesi hayati önem taşıyor.
Kaynak: csoonline.com
