VS Code İçin Claude Kod Uzantısı Güvenlik Açığıyla Karşılaştı: SSH Arka Kapısı Riski

Popüler yapay zeka kodlama aracı Claude Code'un Visual Studio Code (VS Code) uzantısı, ciddi bir güvenlik ihaliyle gündeme geldi. Güvenlik araştırmacıları, uzantının Cursor Marketplace üzerinden dağıtılan zararlı bir sürümünün, kullanıcıların bilgisayarlarına kalıcı bir SSH arka kapısı yerleştirdiğini tespit etti. Bu durum, geliştiricilerin projelerinin güvenliğini ciddi şekilde riske atıyor.

Olayın ardından yapay zeka kodlama platformu Cursor, hizmetini geçici olarak durdurarak zararlı yazılımı kaldırma çalışmalarına başladı. Cursor'dan yapılan açıklamada, etkilenen uzantının Anthropic tarafından geliştirilmediği ve yalnızca Cursor IDE'nin kendi pazar yerinden indirilen sürümlerinin etkilendiği belirtildi. Kullanıcıların yaklaşık 5.000'inin bu zararlı sürümü indirdiği tahmin ediliyor.

Neden önemli?

Bu olay, yazılım geliştirme araçlarındaki güvenlik açıklarının ne kadar büyük riskler taşıyabileceğini gözler önüne seriyor. Yapay zeka destekli kodlama araçları, geliştiricilerin verimliliğini artırırken, aynı zamanda hassas kodlara ve sistemlere erişim sağlıyor. Eğer bu araçlar güvenli bir şekilde yönetilmezse, kötü niyetli kişilerin hedefi haline gelebilirler. Zararlı uzantı, VS Code başlatıldığında ve webview açıldığında aktif hale gelerek, saldırganların kullanıcıların SSH anahtarlarını (~/.ssh/authorized_keys dosyasına ekleyerek) ele geçirmesine ve sistemlere uzaktan erişim kurmasına olanak tanıyor.

Saldırganlar, svc-telemetry adını verdiği bir SSH anahtarı ekleyerek durumu gizlemeye çalışmış. Kurulan ters tünel aracılığıyla saldırganlar, Windows, Linux ve macOS sistemlerde komut çalıştırabilir, dosya transferi yapabilir ve sistem hakkında bilgi toplayabilir. Bu bilgiler, saldırganların kullandığı sunucuya (134.209.82.225:8099/beacon) şifrelenmemiş HTTP istekleriyle gönderiliyor. Uzantı ayrıca, sistemlere özgü kalıcılık mekanizmaları (zamanlanmış görevler, cron işleri veya LaunchAgent'lar) kurarak sistem yeniden başlasa bile etkisini sürdürmeyi hedeflemiş.

Türkiye'de ne anlama geliyor?

Şu an için bu uzantının Türkiye'deki kullanıcılar için doğrudan bir tehdit oluşturup oluşturmadığına dair net bir bilgi bulunmuyor. Ancak, olayın küresel çapta yaşanması, benzer saldırıların Türkiye'deki geliştiricileri de hedef alabileceği anlamına geliyor. Eğer siz de Claude Code uzantısını kullanıyorsanız veya kullanmayı düşünüyorsanız, güncellemelerinizi dikkatli yapmanız ve güvenilir kaynaklardan indirdiğinizden emin olmanız büyük önem taşıyor. Cursor platformu, etkilenen kullanıcılarla doğrudan iletişime geçeceğini duyurdu.

Kullanıcıların, sistemlerindeki yetkisiz SSH anahtarlarını ve kalıcılık mekanizmalarını kaldırmaları, ayrıca tüm şifrelerini ve oturum bilgilerini güncellemeleri tavsiye ediliyor. Bu tür güvenlik ihlallerine karşı proaktif olmak, geliştiricilerin dijital varlıklarını korumaları açısından kritik öneme sahip.

Olay, GitHub'daki bir OVHcloud CLI aracının beş sürümünün zararlı yazılımlarla değiştirilmesinden kısa bir süre sonra yaşandı. Bu durum, yazılım tedarik zincirindeki güvenlik açıklarının ne kadar yaygın ve tehlikeli olabileceğini bir kez daha gösterdi.

Gelecek Adımlar

Cursor, etkilenen kullanıcıları tespit edip onlarla iletişime geçme sürecini başlattı. Anthropic ise hızla zararlı sürümü kaldırıp güvenli 2.1.314 sürümünü yayınladı. Geliştiricilerin, kullandıkları uzantıların güncellemelerini otomatik olarak almasını beklemek yerine, yayıncıların resmi duyurularını takip etmeleri ve güvenlik bildirimlerine dikkat etmeleri öneriliyor. Bu tür olaylar, yazılım geliştirme ekosisteminde daha sıkı güvenlik denetimlerinin ve şeffaflığın gerekliliğini ortaya koyuyor.