XZ Utils arka kapısı, Linux dağıtımlarının neredeyse tamamında bulunan liblzma sıkıştırma kütüphanesine, projeye yıllar içinde sızan bir katkıcı tarafından gizlice yerleştirilen ve SSH oturum açma akışını hedefleyen bir arka kapı olayıdır. Mart 2024’te bir Microsoft mühendisinin sshd bağlantılarında birkaç yüz milisaniyelik olağandışı gecikme fark etmesiyle ortaya çıktı. Kod zaten birkaç dağıtımın test sürümlerine girmişti, ancak yaygın kararlı sürümlere ulaşmadan yakalandı.

XZ Utils olayı, bir kişinin kod satırından çok bakımcının güvenini ele geçirerek koca bir ekosistemin en derin katmanına ulaşabildiğini gösterir.

Saldırı Nasıl Kurgulandı?

Olayın çekirdeği teknik bir zafiyet değil, planlı bir insan operasyonuydu. ‘Jia Tan’ takma adıyla hareket eden bir kimlik, iki yıl boyunca faydalı yamalar göndererek projeye katkıda bulundu ve giderek güven kazandı. Bu süre içinde tek bakımcı üzerinde, sağlığını ve iş yükünü öne süren sahte hesapların baskısı arttı; sonuçta yardımcı bakımcı yetkisi devredildi. Bu, klasik bir sabırlı sosyal mühendislik örneği ve bir tedarik zinciri saldırısı biçimidir.

Zararlı yük kaynak deposunda çıplak gözle görünmüyordu. Test verisi gibi görünen ikili dosyaların içine gizlenmiş, yalnızca dağıtım paketleme sürecinde çalışan bir derleme betiğiyle devreye giriyordu. Bu betik, belirli koşullarda liblzma’ya fazladan kod enjekte ediyor ve bu kod da sshd sürecinin kimlik doğrulama fonksiyonlarını çalışma anında değiştiriyordu.

Arka Kapı Ne Yapıyordu?

Yerleştirilen arka kapı, saldırganın özel anahtarıyla imzalanmış bir tetikleyici taşıyan SSH bağlantılarında devreye giriyordu. Bu durumda kimlik doğrulama tamamen atlanıyor ve gelen bağlantı, parola ya da anahtar gerekmeksizin uzaktan komut çalıştırabiliyordu. Yalnızca doğru anahtara sahip taraf kapıyı açabildiği için, sıradan bir taramayla ya da kaba kuvvet denemesiyle fark edilmesi de zorlaştırılmıştı.

Görünürlük ve Kaynak Doğrulama

Olayın en rahatsız edici yanı, kullanılan kütüphaneyi doğrudan çağırmayan kurumların bile dolaylı olarak risk altında olmasıydı. Modern sistemlerde bir uygulama, farkında bile olmadığı onlarca alt bağımlılığı çeker. Bu yüzden yazılım envanterinin bir yazılım malzeme listesi ile çıkarılması, hangi bileşenin hangi sürümünün nerede çalıştığını bilmenin tek gerçekçi yolu haline geldi. Etkilenen sürümler tespit edildiğinde ise hızlı bir yama yönetimi süreci, geri alma kararının gecikmeden verilmesini sağladı.

Kurumsal Ders

XZ Utils, bir kütüphanenin popüler olmasının denetlendiği anlamına gelmediğini açıkça ortaya koydu. Kritik altyapının önemli bir kısmı, gönüllü ve çoğu zaman tek kişilik projelere dayanıyor; bu bakımcılara yönelen baskı da artık bir saldırı yüzeyi. Kurumlar için pratik yanıt, kullandıkları açık kaynak bileşenleri düzenli olarak izlemek ve sürüm değişikliklerini gözden geçirmekten geçiyor. Kullandığınız bileşenlerin bilinen zafiyet ve şüpheli sürümlerini erken görmek için Düzenli zafiyet tarama hizmetimiz bu tür bağımlılık risklerini sürekli takip eder.