Kategori: Güvenlik

KURGUSAL İÇERİK · SATİR

27 Mayıs 2026 tarihinde Secwest ve X41 D-Sec araştırmacıları, Python ekosisteminin en çok indirilen web çatılarından biri olan Starlette’de CVE-2026-48710 olarak kaydedilen bir kimlik doğrulama atlama zafiyetini açıkladı. Zafiyet, HTTP Host üstbilgisine tek bir karakter, eğik çizgi, soru işareti veya diyez, enjekte edildiğinde Starlette’nin request.url.path ile ASGI sunucusunun yönlendirme kararı arasındaki tutarsızlıktan faydalanıyor. Basit bir örnek: hedefe Host: foo? başlığı gönderildiğinde 403 yanıtı veren bir /admin endpointi, Host: foo? ile 200 yanıtı alabiliyor. Zafiyet, CVSS 6.5 ile orta seviye sınıflandırılmış olsa da araştırmacılar bunun aşağıdaki etkileri ciddi şekilde hafiflettiğini belirtiyor.

Zafiyetin BadHost olarak anılması, tek bir kütüphanedeki bir hatadan nasıl tüm bir AI ajan ekosistemine sızıldığının somut bir kanıtı. Starlette, FastAPI’nin temel routing katmanı. vLLM, LiteLLM, Text Generation Inference, OpenAI-shim proxy’leri, MCP sunucuları ve ajan çerçeveleri hepsi Starlette üzerine kurulmuş durumda. Haftada 325 milyon indirmeye sahip bu çatı, AI altyapısının taşıyıcı kolonlarından biri. Zafiyet, özellikle MCP sunucularını hedefliyor çünkü MCP spec’si OAuth keşif endpointlerini kimlik doğrulamasız bırakmak zorunda kılıyor. Bu da zafiyeti istismar için güvenilir bir kapı sağlıyor.

Bu zafiyeti daha geniş bir çerçevede ele aldığımızda AI ajan güvenliğinin temel sorunu ortaya çıkıyor: bileşenler tek tek doğru çalışırken etkileşimleri felakete yol açıyor. X41 D-Sec’in tespiti, üç bağımsız katmanın etkileşiminden doğduğunu gösteriyor. ASGI sunucuları ham Host üstbilgisini geçiriyor, Starlette onu URL oluşturma için güveniyor, middleware yazarları request.url.path’nin auth kararları için güvenli olduğunu varsıyor. Her bileşen kendi başına RFC’ye uygun. Sorun, katmanlar bir araya geldiğinde ortaya çıkıyor.

Bu durum, 2026 yılında AI ajan güvenliği literatüründe bileşenler arası güven varsayım hatası olarak literatüre geçti. Dr. Yuki Tanaka ve ekibinin 2026’da IEEE Symposium on Security and Privacy’de yayımladığı çalışmada 14 farklı ajan çerçevesindeki 47 güvenlik bileşeninin etkileşimi incelendi. Sonuçlar, bileşenlerin tek tek değerlendirildiğinde yüzde 94.3 güvenli görünürken etkileşim analizinde bu oranın yüzde 31.7’ye düştüğünü gösterdi. p değeri 0.0003 ile istatistiksel olarak anlamlı.

OWASP’ın 2026 Agentic Applications Top 10 listesinde ASI01 (Agent Goal Hijack) ve ASI04 (Agentic Supply Chain Vulnerabilities) ilk sıralarda yer alıyor. BadHost, bu kategorilerin teknik karşılığı. Bir ajan, kendi güvenlik politikalarını geçersiz kılan bir Host üstbilgisi aldığında goal hijacking gerçekleşmiş oluyor. Supply chain boyutu ise daha da geniş. Zafiyet, Starlette’yi kullanan tüm downstream projeleri etkiliyor. Bir projede yama uygulanması, tüm bağımlılık zincirinde güvenliği sağlamıyor.

X41 D-Sec, zafiyeti keşfetme sürecinin vLLM kaynak kodu denetimi sırasında gerçekleştiğini belirtiyor. Araştırmacılar, Starlette tuhaflığından LLM serving primitive’ına giden yol teorik değil, keşif yolu diyor. Bu tespit, AI altyapı güvenliğinin mevcut metodolojisinin yetersiz olduğunu gösteriyor. Geleneksel güvenlik denetimleri bileşenleri izole değerlendiriyor. Oysa AI ajan sistemleri, bileşenler arası etkileşimden doğan zafiyetlere karşı doğal olarak kırılgan.

BadHost, sadece bir zafiyet değil. AI ajan güvenliğinin paradigm değiştirmesi gerektiğinin bir uyarısı. Tek bileşenli güvenlik yaklaşımları, ajan ekosistemlerinde işe yaramıyor. Zero Trust mimarisi, ajanlar arası iletişimde mTLS zorunluluğu, imzalı intent kapsülleri ve görev odaklı JIT yetkilendirme, BadHost gibi zafiyetlerin önüne geçmek için gerekli temel katmanlar.

Starlette 1.0.1 ile yama mevcut. badhost.org adresinde ücretsiz tarayıcı hizmeti sunuluyor. Zafiyeti tespit etmek için mevcut.

KURGUSAL İÇERİK · SATİR

LiteLLM proxy sunucularında tespit edilen CVE-2026-49468 numaralı kimlik doğrulama atlama zafiyeti, yapay zeka altyapılarının en kritik bileşenlerinden birinin temel güvenlik varsayımlarının nasıl çökebileceğini gösteriyor. CVSS skoru 9.5 olan bu zafiyet, LiteLLM’in 1.84.0 sürümünden önceki tüm versiyonlarını etkiliyor ve basit bir HTTP Host header enjeksiyonu ile yönetimsel rotalara izinsiz erişim sağlanabilmesine olanak tanıyor.

LiteLLM, açık kaynaklı bir LLM proxy yönlendiricisi olarak şirketlerin OpenAI, Anthropic ve Gemini gibi birden fazla modelin API anahtarlarını tek bir kapıdan yönetmesini sağlıyor. Rate limiting, erişim kontrolü ve rota optimizasyonu gibi işlevleri yerine getirirken, aslında organizasyonun tüm jeneratif AI altyapısının anahtarlarını barındıran bir kasada konumlanıyor. Bu zafiyet, o kasanın kapısının açık bırakıldığına dair uyarı niteliğinde.

Zafiyetin kök nedeni, CWE-290 olarak sınıflandırılan Authentication Bypass by Spoofing kategorisinde yer alıyor. LiteLLM’in kimlik doğrulama katmanı, litellm/proxy/auth/auth_utils.py dosyasındaki get_request_route() fonksiyonu üzerinden kullanıcının erişmeye çalıştığı rotayı belirliyor. Bu belirleme işlemi, alttaki Starlette çerçevesi tarafından üretilen request.url.path değişkenine dayanıyor. Sorun şu ki, Starlette bu yolu istemci tarafından sağlanan HTTP Host header’ından yeniden inşa ediyor. Oysa gerçek rota yönlendirmesi FastAPI tarafından ele alınıyor ve FastAPI istemcinin gönderdiği gerçek yolu değerlendiriyor. Bu iki katman arasındaki uyumsuzluk, routing desync olarak adlandırılabilecek bir durum yaratıyor.

Saldırgan korumalı bir yönetim rotasına, örneğin /key/generate endpoint’ine istek gönderirken malicious bir Host header enjekte ediyor. Bu header, izinsiz erişilebilen bir halka rota gösteriyor. Kimlik doğrulama katmanı Starlette üzerinden bu rotayı halka sanıyor ve authentication’dan geçiyor. Arka planda FastAPI ise gerçek rotayı okuyup istek korumalı endpoint’e yönlendiriliyor. Sonuç olarak, izinsiz bir istek korumalı bir yönetim fonksiyonuna ulaşıyor.

Bu zafiyeti keşfeden KCSC’den Le The Thang ve One Mount Group’tan Kim Ngoc Chung, sıfır ayrıcalık ve sıfır kullanıcı etkileşimi gerektiren düşük karmaşıklıktaki bu ağ saldırısının, LiteLLM proxy’sinin tam yönetimsel kontrolünü ele geçirebileceğini belgeledi. Başarıyla sömürülürse, bir saldırgan aşağıdaki akımlara erişebiliyor: downstream LLM API anahtarlarını çalmak, /key/generate rotasını kullanarak kendi erişim token’larını oluşturmak, rota kurallarını değiştirmek ve hizmet kullanılabilirliğini bozmak.

Zafiyetin pratik saldırı yüzeyi konusunda önemli bir kısıtlama var. LiteLLM proxy’si doğrudan internete açık değilse, bu zafiyet sömürülemez. Cloudflare gibi bir CDN, WAF veya NGINX gibi düzgün yapılandırılmış bir reverse proxy’nin arkasında bulunan LiteLLM instance’larında, upstream altyapı Host header’ını normalize ediyor veya reddediyor. LiteLLM Cloud müşterileri de bu upstream kontrolleri sayesinde etkilenecek durumda değil.

Acil düzeltme adımları arasında litellm paketinin 1.84.0 veya üzeri bir versiyona yükseltilmesi yer alıyor. Yükseltme sonrası herhangi bir yapılandırma değişikliğine gerek yok. Geçici bir çözüm olarak NGINX reverse proxy önüne yerleştirilerek strict server_name doğrulaması uygulanabilir. Bu durumda proxy_set_header Host $host direktifi ile Host header’ı doğrulanmış server_name üzerine zorlanıyor ve default_server bloğu tanımlanmayan Host header içeren istekler 444 kodu ile reddediliyor.

Endüstriyel bağlamda bu zafiyet, AI altyapısının olgunlaştıkça saldırı yüzeyinin modellerden middleware katmanına kaydığını gösteriyor. Geleneksel web zafiyetleri olan Host header injection, AI gateway’lerine uygulandığında yıkıcı sonuçlar doğurabiliyor. 2026’nın ilk çeyreğinde NVD zenginleştirme triajına öncelik veren NIST’in bu kararları, AI-related zafiyetlerin geleneksel CVE ekosisteminden kısmen sıyrıldığını ve yeni bir güvenlik paradigmaya ihtiyaç duyulduğunu ortaya koyuyor.

Bu tür zafiyetlerin istatistiksel analizi, geleneksel authentication mekanizmalarının AI-native mimarilerde yetersiz kaldığını p < 0.001 anlamlılık seviyesinde doğruluyor. Güvenlik ekiplerinin, AI gateway’lerini geleneksel web uygulamaları gibi değil, kritik kimlik yönetimi sistemleri gibi ele alması gerekiyor.