Gitverify Güvenlik Açığı: İmzasız Etiketler Saldırganlara Nasıl Yol Açabilir?

Yazılım tedarik zincirlerinin güvenliği, son yıllarda geliştiricilerin en büyük endişe kaynaklarından biri haline geldi. Gitverify adlı popüler araçta tespit edilen yeni bir güvenlik açığı, imzasız Git etiketlerinin güvenlik politikalarını atlatmasına olanak tanıyor. CVE-2024-GHSA-H829-5CG7-6HFF olarak kaydedilen bu kusur, saldırganların tedarik zinciri bütünlüğünü tehlikeye atabilecek yeteneklere sahip olmasına yol açıyor.

Kritik Güvenlik Açığının Kökeni ve Etkileri

Gitverify, Git depolarındaki etiketlerin ve imzaların doğrulanmasını sağlayan bir araçtır. Ancak CWE-347 ve CWE-697 sınıflandırmasına sahip bu kusur, mantık tersine çevrilmesine dayanıyor. Araçta bulunan hata, geliştiricilerin requireSignedTags ayarını etkinleştirmesine rağmen, imzasız annotated (açıklamalı) etiketlerin sistemden geçmesine izin veriyor.

Bu durumun en büyük riski, saldırganların projeye sahte, imzasız etiketler ekleyerek kod bütünlüğünü bozabilmesidir. Özellikle otomatik CI/CD boru hatları bu açığı kullanarak sahte kaynaklara yönlendirilebilir. CVSS 5.3 puanıyla orta düzeyde ciddiyet taşıyan bu kusur, henüz aktif olarak sömürülmediği bildiriliyor ancak acil düzeltme gerektiriyor.

Hangi Sistemler Etkilendi?

Bu güvenlik açığı, aşağıdaki sistemleri doğrudan etkiliyor:

• github.com/supply-chain-tools/gitverify paketi
• Sürüm numarası c2c60da05d5c73621d0ce7ea02770bacd79ec8b1 altında yer alan tüm versiyonlar (daha eski sürümler risk altında)

Güncel duruma göre, bu paketi kullanan projelerin büyük çoğunluğu için acil bir düzeltme mevcut. 7 Nisan 2026 tarihinde yayınlanan bu güvenlik danışması, geliştiricilerin hızlıca harekete geçmesini gerektiriyor.

Kod İncelemesi: Hatanın Detayları

Gitverify’in imza doğrulama mantığındaki hata, validateTag fonksiyonunda yer alıyor. Aşağıdaki kod parçası, sorunun kaynağını gösteriyor:

func validateTag(tag *plumbing.Reference, state *gitkit.RepoState, repoConfig *RepoConfig) error {
    // ...
    case SignatureTypeNone:
        // Mantık hatası: requireSignedTags aktifken imzasız etiketler reddedilmeliydi
        if !repoConfig.requireSignedTags {
            return fmt.Errorf("unsigned annotated tag: %s", t.Name)
        }
    // ...
}

Yukarıdaki kodda if koşulunun mantığı tersine çevrilmiş durumda. requireSignedTags ayarı true olarak ayarlandığında bile, SignatureTypeNone (imzasız) etiketler reddedilmiyor. Bu durum, sistemin asıl amacını tamamen tersine çeviriyor. c2c60da commit’i ile bu hata düzeltildi:

-case SignatureTypeNone:
-    if !repoConfig.requireSignedTags {
+case SignatureTypeNone:
+    if repoConfig.requireSignedTags {
         return fmt.Errorf("unsigned annotated tag: %s", t.Name)
     }

Bu küçük ama kritik değişiklik, sistemin güvenilirliğini yeniden sağlıyor.

Güvenliği Sağlamak İçin Adımlar

Bu güvenlik açığından korunmak için geliştiricilerin izlemesi gereken adımlar şunlar:

1. Hızlıca Güncelleme Yapın

• Tüm projelerinizde github.com/supply-chain-tools/gitverify paketini en son versiyona (c2c60da) yükseltin.
• Bağımlılık yönetim araçlarınızla (npm, pip, Go modülleri vb.) bu güncellemeyi otomatik olarak dağıtabilirsiniz.

1. Çift Doğrulama Uygulayın

• CI/CD boru hatlarınızda bağımsız bir imza doğrulama mekanizması kurun. Örneğin, her etiket ve commit için ayrı kontroller yapabilirsiniz.

1. Statik Bağlantıları Yeniden Derleyin

• Eğer projeniz statik olarak derlenen ikili dosyalar kullanıyorsa, bu dosyaları yeniden derleyerek en son gitverify sürümünü içerdiğinden emin olun.

1. Test Ortamında Doğrulayın

• Geliştirme ortamınızda imzasız bir etiket göndererek doğrulama işleminin düzgün çalıştığını test edin. Eğer sistem etiketi reddediyorsa, düzeltme başarılı demektir.

Gelecekteki Tedbirler ve Önlemler

Bu olay, yazılım tedarik zinciri güvenliğinin ne kadar kritik olduğunu bir kez daha gözler önüne serdi. Geliştiriciler olarak aşağıdaki stratejileri benimseyerek benzer riskleri en aza indirebiliriz:

• Tedarik Zinciri Bütünlüğü Kontrolleri: Sadece imzalı etiket ve commit’leri kabul eden politikalar oluşturun.
• Otomatik Güvenlik Tarama Araçları: CI/CD sürecine entegre edilmiş araçlar kullanarak her yeni eklenen kodu otomatik olarak tarayın.
• Uygulama Bağımlılıklarının Sürekli İzlenmesi: Üçüncü parti paketlerin güvenlik güncellemelerini takip eden araçlar kullanın.

Gitverify’deki bu hata, açık kaynak ekosisteminin birlikte çalışabilirliğinin ve güvenilirliğinin ne kadar önemli olduğunu bir kez daha vurguluyor. Tüm geliştiricilerin bu tür güvenlik açıklarına karşı proaktif bir şekilde hareket etmeleri, daha güvenli bir dijital ekosistem oluşturulmasına katkı sağlayacaktır.