Yapay zeka destekli yazılım geliştirme süreçlerini kolaylaştıran açık kaynaklı LiteLLM aracı üzerinden gerçekleştirilen kitlesel bir tedarik zinciri saldırısı, terabaytlarca hassas verinin sızmasına yol açtı. Saldırı sonucunda Microsoft, Amazon, Cisco, Samsung ve Salesforce gibi dünya devi kurumların erişim sırları ve kimlik bilgileri açığa çıktı.

Saldırının Detayları ve Etkilenen Kurumlar

CloudSEK ve Hudson Rock güvenlik firmaları tarafından ortaya çıkarılan olayda, Python Paket Endeksi (PyPI) üzerinden indirilen LiteLLM'in kötü amaçlı sürümlerinin kullanıldığı belirlendi. Mart ayındaki yaklaşık 40 dakikalık bir zaman diliminde gerçekleşen sızıntıda; bulut anahtarları, depo tokenları, SSH anahtarları, Kubernetes sırları ve yapay zeka sağlayıcı anahtarları gibi kritik veriler çalındı.

TeamPCP ve Tedarik Zinciri Zincirleme Etkisi

Söz konusu saldırının, daha önce popüler zafiyet tarayıcısı Trivy'yi etkileyen bir tedarik zinciri saldırısının sonucu olduğu anlaşıldı. KICS ve Telnyx Python SDK yazılımlarının da etkilenen diğer araçlar olduğu belirtilirken, saldırının sorumluluğunu TeamPCP adlı grup üstlendi. Hudson Rock, 195 terabaytlık devasa bir dosyayı analiz ederek keşfi gerçekleştirdi.

Yüz Binlerce Yazılım Hattı Risk Altında

Güvenlik araştırmacıları, yaklaşık 434 bin sürekli entegrasyon ve sürekli teslimat (CI/CD) yazılım hattındaki kimlik bilgilerinin tehlikeye girdiğini bildirdi. Birçok kurumun, genel yapılandırmalar nedeniyle sızan verilerin kendilerine ait olduğunu fark edemediği vurgulanırken, etkilenen tüm organizasyonların kimlik bilgilerini acilen yenilemeleri tavsiye edildi.

Ne anlama geliyor?

Bu olay, yazılım geliştirme süreçlerinde kullanılan üçüncü taraf kütüphanelerin ve paketlerin güvenliğinin ne kadar kritik olduğunu göstermektedir. Tedarik zinciri saldırıları, güvenilen bir yazılım paketinin içine kötü amaçlı kod yerleştirilmesiyle çalışır. Yazılımcı standart bir güncelleme yaptığında veya yeni bir paket indirdiğinde, zararlı kod sistem belleğine erişerek şifreler, API anahtarları ve gizli erişim belgeleri gibi verileri dışarıya aktarır.

Özellikle sürekli entegrasyon ve teslimat süreçlerinde kullanılan otomatik hatlar, yazılımın hızlıca yayılmasına izin verirken aynı zamanda bu kritik anahtarların merkezi bir yerde toplanmasına neden olur. Eğer bu hatlar üzerinden sızma gerçekleşirse, saldırganlar herhangi bir şifre kırma işlemine gerek duymadan doğrudan sistem yönetici yetkilerine sahip olabilirler. Bu durum, işletmelerin sadece kendi yazdıkları koda değil, kullandıkları tüm harici araçların güncelliğine ve güvenilirliğine odaklanmaları gerektiğini kanıtlar.