- Katılım
- 12 Şub 2024
- Mesajlar
- 844
Genel Bilgi
Açık kaynaklarda yer alan bilgilere göre, Python ekosisteminde yaygın olarak kullanılan certifi kök sertifika paketini hakkında kritik seviyede bir güvenlik bildirimi yayımlamıştır. Bildirim, eMudhra’ya ait sekiz ara sertifika otoritesinin özel anahtarlarının ele geçirilmesiyle ilgilidir ve söz konusu anahtarlar hatalı üretildiği için sertifikalardan hesaplanabilir durumda olduğu değerlendirilmektedir. Bu ara sertifikalar, certifi paketinde güvenilir olarak yer alan “emSign ECC Root CA - G3” kök sertifikasına zincirlenmektedir. Python Software Foundation zafiyet hakkında pip, uv, conda ve diğer araçlar için acil güncelleme yayımlamıştır.
Etki
Zafiyetin başarılı şekilde istismar edilmesi durumunda, saldırganın herhangi bir alan adı için geçerli görünen sertifika üretebileceği değerlendirilmektedir. Bu durum, ağ üzerinde araya girebilen bir saldırganın (MITM) şifreli TLS trafiğini okuyabilmesine ve değiştirebilmesine imkân tanımaktadır. Ayrıca pypi.org taklit edilerek zararlı paket yüklenmesi yoluyla tedarik zinciri saldırısı riski bulunmaktadır. Zafiyete ilişkin bilgiler şu şekildedir:
Alınması Gereken Önlemler ve Çözüm Önerileri
Kurum ve kuruluşların, sistemlerinin güvenliğinin sağlanması amacıyla;
Düzeltilmiş CPython sürümleri 3.15.1, 3.14.9 ve 3.13.17'dir. certifi 2026.10.18 sürümü tüm emSign kök sertifikalarını kaldırmıştır. 2026.10.19 sürümü ise etkilenmeyen emSign kök sertifikalarını geri eklediğinden uyumluluk açısından önerilmektedir. Güvenlik güncellemesi, güncelleme öncesinde gerçekleşmiş bir güvenlik ihlalini gidermemektedir. Zafiyetin uzun süredir mevcut olması nedeniyle, güvenilmeyen ağlar üzerinden paket yüklemesi yapılmış geliştirici sistemlerinde ve CI/CD hatlarında ayrıca inceleme yapılmalıdır.
Kaynaklar
https://github.com/advisories/GHSA-6q48-6c7w-9gw2
https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
https://discuss.python.org/t/inform...msign-ca-certificate-security-incident/109576
https://emudhra.we-have-a-problem.com/
Açık kaynaklarda yer alan bilgilere göre, Python ekosisteminde yaygın olarak kullanılan certifi kök sertifika paketini hakkında kritik seviyede bir güvenlik bildirimi yayımlamıştır. Bildirim, eMudhra’ya ait sekiz ara sertifika otoritesinin özel anahtarlarının ele geçirilmesiyle ilgilidir ve söz konusu anahtarlar hatalı üretildiği için sertifikalardan hesaplanabilir durumda olduğu değerlendirilmektedir. Bu ara sertifikalar, certifi paketinde güvenilir olarak yer alan “emSign ECC Root CA - G3” kök sertifikasına zincirlenmektedir. Python Software Foundation zafiyet hakkında pip, uv, conda ve diğer araçlar için acil güncelleme yayımlamıştır.
Etki
Zafiyetin başarılı şekilde istismar edilmesi durumunda, saldırganın herhangi bir alan adı için geçerli görünen sertifika üretebileceği değerlendirilmektedir. Bu durum, ağ üzerinde araya girebilen bir saldırganın (MITM) şifreli TLS trafiğini okuyabilmesine ve değiştirebilmesine imkân tanımaktadır. Ayrıca pypi.org taklit edilerek zararlı paket yüklenmesi yoluyla tedarik zinciri saldırısı riski bulunmaktadır. Zafiyete ilişkin bilgiler şu şekildedir:
- GHSA-6q48-6c7w-9gw2: certifi paketinin 2019.03.09 ile 2026.10.19 öncesi sürüm aralığında, özel anahtarları ele geçirilmiş eMudhra ara sertifika otoritelerine güven zinciri sağlayan emSign kök sertifikasının bulunmasından kaynaklanmaktadır. Zafiyet; requests, urllib3, pip ve python.org macOS kurulumu gibi certifi kullanan tüm istemcileri etkilemektedir.
- pip, işletim sisteminin güven deposuna ek olarak kendi içindeki certifi kopyasını da her durumda kullanmaktadır. Bu nedenle 26.2.2 öncesi pip sürümleri, işletim sistemi güncellenmiş olsa dahi ele geçirilmiş sertifika otoritelerine güvenmeye devam etmektedir.
- Tarayıcılar sertifika şeffaflığı (Certificate Transparency – CT) denetimi uyguladığından risk altında görülmemektedir. Ancak pip, curl ve sunucu tarafı uygulamalar gibi CT denetimi yapmayan istemcilerin fark edilmeden hedef alınmış olabileceği ve istismar edilip edilmediğinin bilinmediği belirtilmektedir.
Alınması Gereken Önlemler ve Çözüm Önerileri
Kurum ve kuruluşların, sistemlerinin güvenliğinin sağlanması amacıyla;
- İvedilikle certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 ve pixi 0.82.1 ya da daha yeni sürümlere geçilmelidir.
- pip güncellemesi, araya girme riskine karşı SHA256 özet değeriyle sabitlenmiş doğrudan bağlantı üzerinden yapılmalıdır.
- Sistemlerdeki tüm sanal ortamlarda (venv) pip ve certifi ayrı ayrı güncellenmelidir.
- Container imajları, katman önbelleği devre dışı bırakılarak güncel ca-certificates paketleriyle yeniden derlenmelidir.
- İşletim sistemi ca-certificates paketleri ve tarayıcılar en güncel sürüme yükseltilmelidir.
- macOS sistemlerde yerleşik curl, git ve python3 araçlarının kullandığı /etc/ssl/cert.pem dosyasından etkilenen kök sertifikalar çıkarılmalıdır.
- İstemcilerin ele geçirilmiş sertifikalara güvenip güvenmediği, olayı duyuran sitede sunulan test adresleriyle doğrulanmalıdır.
Düzeltilmiş CPython sürümleri 3.15.1, 3.14.9 ve 3.13.17'dir. certifi 2026.10.18 sürümü tüm emSign kök sertifikalarını kaldırmıştır. 2026.10.19 sürümü ise etkilenmeyen emSign kök sertifikalarını geri eklediğinden uyumluluk açısından önerilmektedir. Güvenlik güncellemesi, güncelleme öncesinde gerçekleşmiş bir güvenlik ihlalini gidermemektedir. Zafiyetin uzun süredir mevcut olması nedeniyle, güvenilmeyen ağlar üzerinden paket yüklemesi yapılmış geliştirici sistemlerinde ve CI/CD hatlarında ayrıca inceleme yapılmalıdır.
Kaynaklar
https://github.com/advisories/GHSA-6q48-6c7w-9gw2
https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
https://discuss.python.org/t/inform...msign-ca-certificate-security-incident/109576
https://emudhra.we-have-a-problem.com/
