CVE-2025-30154: reviewdog/action-setup GitHub Action Embedded Malicious Code Vulnerability

Zorluk Seviyesi: Orta | Kaynak: CISA KEV

Zafiyet Analizi ve Giriş

Son yıllarda siber güvenlik alanında yaşanan zafiyetler, yazılım geliştirme süreçlerinin güvenliğini sorgulatan birçok olaya neden olmuştur. Bunlardan biri de CVE-2025-30154 koduyla belirtilen reviewdog/action-setup GitHub Action üzerindeki gömülü zararlı kod zafiyetidir. Bu zafiyet, yazılım geliştiricilerin kullandığı GitHub Actions aracılığıyla gizli bilgilerin açığa çıkmasına neden olmaktadır. Bu tür zafiyetler, özellikle Continuous Integration/Continuous Deployment (CI/CD) (Sürekli Entegrasyon/Sürekli Dağıtım) süreçlerinin kritik bir parçası olan otomatik test ve dağıtım aşamalarını hedef alır.

Zafiyetin temelinde, reviewdog/action-setup eyleminin (action) içinde bulunan bir kod parçasının zararlılığı yatmaktadır. Bu kod, mükemmel bir şekilde gizlenmiş olup, kullanıcıların gizli anahtarlarını ve diğer hassas bilgilerini GitHub Actions iş akışı (workflow) günlüklerine döküyor. Böyle bir sızıntı, bir yazılım geliştirme ortamında çalışan ekiplerin güvenliğini riske atar. Örneğin, bir geliştirici gizli bir API anahtarını kullanan bir proje üzerinde çalışıyorsa ve zafiyet nedeniyle bu anahtar günlüklerde görünür hale gelirse, kötü niyetli kullanıcılar bu bilgiyi kolaylıkla ele geçirebilir.

Zafiyetin tarihi, geliştiricilerin dikkatini çeken birçok diğer açıkla birlikte gitgide büyüyen bir kütüphane koleksiyonundan buna bağlı olarak ilerlemiştir. GitHub üzerinde barındırılan bu açık kaynak proje, birçok bağımlılığı ve eylemi sürekli olarak entegre ettiğinden, bir hatanın tespiti ve düzeltilmesi karmaşık bir süreç haline gelebilir. Özellikle eski versiyonlarının hala kullanılmakta olduğu bu eylem, siber saldırganların dikkatini çeken potansiyel bir hedef oluşturmuştur. Bu durum, yazılım güvenliği alanında teknik bir analiz yapılmasını zorunlu kılmaktadır.

Küresel etkileri açısından bakıldığında, CVE-2025-30154 zafiyeti, finans, sağlık, eğitim ve teknoloji gibi birçok sektörde çalışan yazılım ekiplerini etkilemiştir. Özellikle finansal teknolojiler, şirketlerin gizli bilgileri (mali veriler, müşteri bilgileri) üzerinde çalıştığı için bu tür zafiyetler en tehlikeli sonuçları doğurabilir. Örneğin, finansal bir kurumun çalışanı, reviewdog/action-setup kullanıyorsa ve bu zafiyetten habersizse, muhtemel bir veri ihlali durumu ile karşılaşabilir. Bu durumda, kötü niyetli kullanıcıların sızdığı bir API anahtarıyla kötü amaçlı işlemler gerçekleştirmesi olasılığı oldukça yüksektir.

Devamlı olarak güncellenen yazılım kütüphanelerinde bu tür zafiyetlerin ortaya çıkma olasılığını azaltmak için en iyi uygulamalara odaklanmak önemlidir. Örneğin, kullanılan tüm bağımlılıkların güncel tutulması, güvenlik açıkları için düzenli olarak taranması ve iş akışlarının güvenli bir şekilde yapılandırılması önemlidir. Ayrıca, gizli bilgilerin saklanması ve yönetimi konusunda hassas olmak, bu tür risklerin büyük ölçüde azaltılmasına yardımcı olabilir.

Ayrıca, yazılım geliştiricilerinin güvenlik bilincinin artırılması ve "DevSecOps" (Geliştirme-Security-Operasyonlar) yaklaşımının benimsenmesi, yazılımlardaki güvenlik açıklarının azaltılmasında kritik bir rol oynamaktadır. Özetle, CVE-2025-30154 zafiyetinin anlaşılması ve bunun ışığında alınacak tedbirler, yazılım geliştirme süreçlerinin güvenliğini artırmak için kaçınılmazdır.

Teknik Sömürü (Exploitation) ve PoC

reviewdog/action-setup GitHub Action'da ortaya çıkan CVE-2025-30154 zafiyeti, siber güvenlik alanında önemli bir tehdit oluşturmaktadır. Bu zafiyet, kötü niyetli aktörlerin GitHub Actions Workflow Logs içinde açıkta bulunan gizli anahtarları (secrets) ele geçirmesine olanak tanır. Bu durum, kötüye kullanılabilecek birçok bilginin sızmasına yol açabilir ve sonuç olarak, bir sistemin güvenliği ciddi anlamda tehlikeye girebilir.

Sömürmek için ilk olarak, zafiyeti hedef alan bir GitHub Action projesi tespit edilmeli ve reviewdog/action-setup eklentisinin hangi versiyonunun kullanıldığını kontrol etmelisiniz. Eğer bu versiyon CVE-2025-30154 ile ilgili bir sorun içeriyorsa, sömürü aşamalarına geçebilirsiniz.

Sömürme adımları aşağıdaki gibidir:

Hedef Belirleme: GitHub Actions workflow'unu kullanarak gizli anahtarları barındıran bir repository belirleyin. Örneğin, bir CI/CD pipeline'ında kritik API anahtarları veya veritabanı erişim bilgileri saklanıyor olabilir.
Kötü Amaçlı Kodu İnceleme: Reviewdog/action-setup GitHub Action’da yer alan kötü niyetli kodun detaylarını incelemek önemlidir. Genellikle bu tür zafiyetlerde, bir kullanıcıdan gelen hatalı ya da beklenmeyen girdi, uygulamanın beklenmedik bir şekilde davranmasına ya da belirli bilgileri sızdırmasına neden olabilir.
Payload Hazırlama: Malicious (kötü niyetli) bir payload hazırlayın. Örneğin, bir Python scripti kullanarak bu payload'u oluşturabiliriz. Bu payload, hedef sistemde gizli bilgileri sızdıracak kodu içerir:

   import requests

   # Hedef repository bilgilerini ekleyin
   GITHUB_REPO = 'https://api.github.com/repos/user/repo/actions/workflows'
   HEADERS = {
       'Authorization': 'token YOUR_GITHUB_TOKEN',
       'Accept': 'application/vnd.github.v3+json'
   }

   # GitHub Action'ı tetikle
   response = requests.post(GITHUB_REPO, headers=HEADERS)
   print(response.json())

GitHub Actions Yolunun Tespit Edilmesi: Bir GitHub Action'ı yanlış bir yapılandırma ile tetiklemeniz durumunda, gizli bilgilerinizin sızabileceği bir yol oluşabilir. Örneğin, eğer belirli bir Token (jeton) veya secret bir anahtar gerektiriyorsa, bu bilgilerin loglarda nasıl çıktığını izlemelisiniz.
Sonuçların Analizi: Söz konusu GitHub Action tetiklendiğinde, logların içerisinde gizli bilgilerin sızması sağlanır. Bu logları kontrol ederek hangi bilgilere erişim sağlandığını ve hangi bilgilerin tehlikede olduğunu belirleyebilirsiniz.
Proof of Concept (PoC) İlgili Uygulama: Aşağıda bir PoC örneği verilmiştir. Bu örnek, şüpheli bir GitHub Action'ının kötü niyetli bir payload içermesi durumunda nasıl kullanılabileceğini göstermektedir:

   name: Malicious Action
   on:
     push:
       branches:
         - main

   jobs:
     exploit:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v2

         - name: Run malicious code
           run: |
             python exploit.py

Siber güvenlik testi ya da "Pentesting" sürecinde, bu tür zayıflıkları tespit etmek ve güvenlik önlemleri almak oldukça önemlidir. Önerilen testlerin ve uygulamaların yasal sınırlar dahilinde, kötü niyetli amaçlardan uzak, şeffaf ve etik bir şekilde gerçekleştirilmesi gerektiği unutulmamalıdır. "White Hat Hacker" perspektifinden bakıldığında, bu tür zafiyetlerin ortaya çıkarılması, sistemlerin daha güvenli hale gelmesine olanak tanır.

Forensics (Adli Bilişim) ve Log Analizi

Günümüzde siber güvenlik açıkları, tüm dünyada birçok kuruluş için önemli bir tehdit oluşturmaktadır. Özellikle GitHub üzerinde kullanılan eylemler ve araçlar, kötü niyetli aktörler tarafından hedef alınabilir. Bu bağlamda, reviewdog'un action-setup GitHub Action'ındaki CVE-2025-30154 zafiyeti, önemli bir kötü amaçlı kod içerdiği için dikkat çekmektedir. Bu açık, sızdırılmış gizli bilgilerin GitHub Actions İş Akışı Loglarına (Workflow Logs) dökülmesine neden olmaktadır. Dolayısıyla, bu tür zafiyetlerin tespit edilmesi, siber güvenlik uzmanları için kritik bir öneme sahiptir.

Bir siber güvenlik uzmanı, bu tür bir saldırının gerçekleştiğini belirlemek amacıyla SIEM (Security Information and Event Management) sistemlerini ve log dosyalarını etkili bir şekilde analiz etmelidir. İlk olarak, Access Log (Erişim Logu) ve Error Log (Hata Logu) gibi log türlerine göz atmak gerekir. Bu loglar, sistemdene yapılan şüpheli girişimleri ve uygulama hatalarını takip etmek için önemli birer kaynaktır. Özellikle gizli bilgilerin dışarı sızmasına neden olan eylemler, bu loglarda belirgin izler bırakır.

Örneğin, Access Log'lar üzerinden, beklenmedik veya yetkisiz erişim denemeleri tespit edilebilir. Kullanıcı kimlik bilgileri veya API anahtarları gibi hassas bilgileri cliffhanger (saldırı öncesinde bilgi sızdırma) haliyle kaydeden kötü niyetli bir kod çalıştırıldığında, bu tür erişimler loglarda anormal yükselmelere neden olabilir. Aşağıda, olası bir log kaydını göstermek için bir örnek verilmiştir:

09:30:00 - User: admin attempted login from IP: 192.168.1.100
09:30:02 - User: admin - TEMP_ACCESS_KEY exposed in workflow logs

Bu tür kayıtlar, güvenlik uzmanlarının dikkatini çeken ciddi bir gösterge olmalıdır. Ayrıca, Error Log'larda (Hata Logları) da dikkat edilmesi gereken bazı işaretler bulunmaktadır. Eğer bir eylem, beklenmedik bir hata veriyor ve bu hata, gizli verileri kaydediyorsa, bu durum potansiyel bir tehdidi işaret edebilir.

Güvenlik uzmanları, ayrıca GitHub Actions Workflow Loglarını da kontrol etmelidir. Bu loglar, çalıştırılan işlemler hakkında detaylı bilgi sağladığı için, doğrudan kodun nasıl çalıştığına dair önemli ipuçları verebilir. Aşağıda, bir log kaydında görülebilecek potansiyel bir kötü niyetli kod parçasını simüle eden bir örnek verilmiştir:

Running reviewdog/action-setup action...
Dumping secrets: [‘MY_SECRET_TOKEN’]

Bu tür log kayıtları, gizli bilgilerin ifşa edildiği durumları göstermektedir ve bu tür bir durum, hızlı bir şekilde müdahale edilmesi gereken bir alarm olarak değerlendirilebilir.

Kötü niyetli bir aktif saldırıda, sistem enjekte edilmiş bir kötü amaçlı yazılım ile tehlikeye girmişse, siber güvenlik uzmanları bu durumu tespit etmek için belirli imzalara (signature) bakmalıdır. Örneğin, yaygın olarak bilinen saldırı türlerinden gelen davranış kalıpları ve anormallikler göz önünde bulundurulmalıdır. Çoğu zaman, bu tür bir kötü niyetli yazılım, belirli bir URL’ye veya IP adresine bağlanmaya çalışır. Dolayısıyla, bu tür iletişimleri izlemek ve analiz etmek, güvenlik uzmanlarının işini büyük ölçüde kolaylaştırır.

Sonuç olarak, CVE-2025-30154 gibi zafiyetlerin tespiti, siber güvenlik uzmanları için ciddi bir görevdir. SIEM sistemleri, Access Log'lar ve Error Log'lar, şüpheli aktiviteleri tespit etmek için kritik araçlardır. Uzmanların, bu logları dikkatle inceleyerek potansiyel tehditleri belirlemesi ve gerekli önlemleri alması, siber güvenlik açısından büyük önem taşımaktadır. Her bir log kaydının dikkatle incelenmesi ve anormalliklerin tespit edilmesi, olası veri sızıntılarını önlemenin en etkili yollarından biridir.

Savunma ve Sıkılaştırma (Hardening)

Günümüzde açık kaynak yazılımların ve hizmetlerin kullanımı yaygınlaştıkça, güvenlik zafiyetlerinin ortaya çıkması da kaçınılmaz hale gelmiştir. Özellikle GitHub Actions gibi popüler CI/CD (Continuous Integration/Continuous Deployment) araçlarındaki zayıflıklar, geliştiricilerin ve şirketlerin hassas verilerini riske atmaktadır. Bu bağlamda reviewdog/action-setup GitHub Action içindeki CVE-2025-30154 zafiyeti, göze çarpan ciddi bir güvenlik açığıdır. Bu açıklık, kötü niyetli bir kodun çalışma zamanında gizli bilgileri (secrets) Github Actions Workflow Logs'a yazmasına olanak tanır. Dolayısıyla, bu durumu önlemek ve sistemleri daha güvenli hale getirmek için çeşitli savunma ve sıkılaştırma (hardening) tekniklerine başvurmak gerekmektedir.

Birinci adım olarak, GitHub Action'larınızı sürekli olarak güncel tutmalısınız. Zafiyetin kaynağı, embedded malicious code yani yerleşik kötü niyetli kod olduğundan, bu tür kodları önlemek için güvenilir ve güncel kaynaklardan faydalanmalısınız. Fonksiyonel testler, aksiyonlarınızın beklenen şekilde çalıştığından emin olmanızı sağlayacaktır. Bu yüzden, her bir GitHub Action’ınız için CI/CD boru hattınızda statik analiz araçları kullanarak kodunuzda potansiyel zafiyetlere karşı tarama yapmalısınız. Örneğin, Snyk veya Dependabot gibi araçlar, açık kaynak kütüphanelerindeki güvenlik açıklarını takip etmenize yardımcı olabilir.

Ayrıca, zafiyetin etkisini minimize etmek için WAF (Web Application Firewall) kurallarını uygulamak da kritik öneme sahiptir. Kötü niyetli veri akışını engellemek için çeşitli WAF kuralları geliştirebilirsiniz. Örneğin, aşağıdaki gibi basit bir kural, belirli bir URL'de şüpheli istekleri engelleyebilir:

SecRule REQUEST_URI "@contains /path/to/sensitive/data" \
    "id:1001,phase:1,deny,status:403,msg:'Malicious request blocked'"

Bu kural, belirli bir yol üzerinde yapılan istekleri analiz eder ve belirli tehdit kriterlerine uyan istekleri reddeder. Elbette, bu tür kuralların uygulanması sistemin genel yapılandırmasına göre değişebilir, bu yüzden kendi sisteminize uygun custom (özelleşmiş) kurallar geliştirmelisiniz.

Zafiyeti kalıcı olarak sıkılaştırmak için, yalnızca gerekli izinlerin verilmesi en kritik noktadır. GitHub Actions üzerindeki token ve secrets kullanımınızı dikkatlice yönetin. Özellikle, sadece gerekli erişim izinlerine sahip kısıtlı kapsamlı token'lar oluşturun. Böylece, bir zafiyet durumunda kötü niyetli bir kullanıcı sırf bu token’a sahip olduğu için tüm bilgilere ulaşma imkanında olmaktan mahrum kalır.

Bağımsız bir değerlendirme sağlamak adına, güvenlik odaklı bir red team (kırmızı takım) ve blue team (mavi takım) simülasyonu gerçekleştirin. Bu simülasyonlar, ekibinizin güvenlik açıklarını nasıl tespit ettiğini ve düzelttiğini görmek için iyi bir fırsat sunar. Red team, saldırganların gözünden bakarak potansiyel güvenlik açıklarını arz ederken, blue team, bu açıkları kapatmak için mevcut savunma mekanizmalarını sürekli geliştirmelidir.

Sonuç olarak, CVE-2025-30154 zafiyeti, sadece mevcut tehditleri göz önünde bulunduruyor değildir. Aynı zamanda, güvenlik kültürünü benimsemek, sürekli eğitim almak ve güvenlik yazılımlarının güncel tutulması gibi önemli adımlar atmak gerekmektedir. Geliştirici ekipler olarak, kodlarımızın güvenliğini sağlamak için çok katmanlı bir yaklaşım benimsediğimizde, olası tehditleri minimize edebilir ve uygulamalarımızı daha sağlam bir temele oturtabiliriz.