Codecov olayı, 2021 yılında ortaya çıkan ve yazılım geliştirme süreçlerinde yaygın kullanılan bir kod kapsama aracının gizlice değiştirilmesiyle yaşanan bir güvenlik ihlalidir. Saldırganlar, aracın binlerce projenin sürekli tümleştirme hattında otomatik olarak çalıştırdığı bir betiğe erişip onu değiştirdi. Bu değişiklik, betiği çalıştıran her kurumun derleme ortamındaki hassas bilgileri saldırganın sunucusuna sessizce gönderecek şekilde yapılmıştı.

Codecov olayı, tek bir güvenilen aracın ele geçirilmesinin, o aracı kullanan binlerce kurumun sırlarına aynı anda ulaşmaya nasıl dönüştüğünü gösteren bir örnektir.

Saldırı Nasıl Gerçekleşti?

Giriş noktası, Codecov’un bir Docker imajı oluşturma sürecindeki bir hataydı; bu hata, imajın barındırdığı bir kimlik bilgisinin açığa çıkmasına yol açtı. Saldırganlar bu bilgiyle, aracın kurulum betiğini (Bash Uploader) barındıran depoya erişip betiği değiştirebildi. Değişiklik son derece sade ama etkiliydi: betiğe eklenen tek bir satır, çalıştığı ortamdaki değişkenleri toplayıp dışarıya iletiyordu. Aylar boyunca fark edilmeden, aracı indiren her kurumun hattında çalışmaya devam etti.

Çalınan asıl değer, derleme ortamlarında bulunan sırlardı: bulut erişim anahtarları, veritabanı parolaları, depo belirteçleri ve dağıtım kimlik bilgileri. Bu tür değerler genellikle ortam değişkenleri olarak enjekte edildiğinden, betik onları toplamak için özel bir çaba harcamak zorunda kalmadı. Olay, kurumların Sır yönetimi pratiklerindeki en zayıf halkanın, sırların derleme anında düz metin olarak ortama açılması olduğunu görünür kıldı.

Neden Bu Kadar Yaygın Etki?

Olayın çarpıcı yanı, tek bir hedefe değil bir çarpan noktasına saldırılmış olmasıdır. Bir kurumu doğrudan hedef alsalardı yalnızca onu ele geçirebilirlerdi; oysa binlerce kurumun güvendiği ortak bir araca yerleştikleri için, her bir kurbanın kendi ortamı saldırıyı gönüllü olarak taşıdı. Bu, Tedarik zinciri saldırısı mantığının özüdür: güvenin aktığı yolu kaynağından zehirlemek, sayısız uç noktayı tek hamlede etkilemeye imkan verir.

Etkiyi büyüten bir başka etmen, çalınan sırların dominolar gibi zincirlenmesiydi. Bir kurumdan alınan bulut anahtarı, o kurumun başka sistemlerine erişim sağladı; oradan ele geçirilen yeni belirteçler daha ileri hedeflere kapı açtı. Böylece ilk ihlal, tek bir CI/CD betiğinden başlayıp çok sayıda üretim sistemine uzanan geniş bir erişim ağına dönüştü.

Alınacak Dersler ve Kurumsal Savunma

Olay, birkaç somut savunma ilkesini öne çıkardı. Dışarıdan indirilen betiklerin bütünlüğü, çalıştırılmadan önce kriptografik özet doğrulamasıyla kontrol edilmeli; derleme ortamlarına verilen sırlar en az yetki ilkesiyle sınırlanmalı ve mümkün olduğunda kısa ömürlü, otomatik dönen kimlik bilgileriyle değiştirilmelidir.

• Bütünlük doğrulama: harici betikleri çalıştırmadan önce özetlerini kontrol etmek
• En az yetki: derleme ortamına yalnızca gereken sırları ve kapsamı vermek
• Kısa ömürlü kimlik: uzun süreli statik anahtarlar yerine dönen belirteçler kullanmak
• İzleme: hattan dışarıya giden beklenmedik ağ trafiğini gözlemlemek

Bu ilkelerin bir kurumda gerçekten uygulanıp uygulanmadığı, çoğu zaman yalnızca dış bağımlılıkların ve derleme hattının bütünüyle incelenmesiyle anlaşılır. DevSecOps yaklaşımının güvenliği geliştirme sürecinin içine yerleştirmesi tam da bu boşlukları kapatmayı hedefler. Tedarik zinciri risklerinin ve sır yönetimi zayıflıklarının haritalanması, bir altyapı ve mimari gözden geçirme çalışmasıyla ele alındığında Codecov türü olayların açtığı yolun kuruma özgü karşılığı ortaya çıkar.