Dependabot artık sürüm güncellemelerini üç gün geciktiriyor. Bu, güvenlik araştırmacılarına yeni sürümlerdeki hataları inceleme süresi tanıyor.
Ne oldu?
GitHub'ın bağımlılık yönetim botu Dependabot, sürüm güncelleme pull request'lerini artık varsayılan olarak üç gün beklettikten sonra gönderiyor. Bu yeni 'soğuma süresi' (cooldown) sayesinde, yeni bir sürüm yayınlandığında bot hemen pull request açmak yerine, geliştiricilere ve güvenlik araştırmacılarına o sürümdeki potansiyel sorunları inceleme fırsatı tanıyor. GitHub, bu değişikliğin özellikle tedarik zinciri saldırılarına karşı bir önlem olduğunu belirtiyor.
Neden önemli?
Yazılım tedarik zinciri saldırıları, kötü niyetli kişilerin popüler kütüphanelere zararlı kod enjekte etmesiyle gerçekleşir. Dependabot'un anında güncelleme önermesi, bu tür bir saldırıda kullanıcıların farkında olmadan kötü amaçlı sürüme geçmesine neden olabiliyordu. Üç günlük bekleme, güvenlik araştırmacılarının ve topluluğun yeni sürümü inceleyip şüpheli davranışları raporlaması için zaman kazandırıyor. Bu sayede, kötü amaçlı bir sürüm yayınlandığında, Dependabot kullanıcıları otomatik olarak o sürüme geçmeden önce sorunun fark edilme olasılığı artıyor. Ayrıca, bu süre geliştiricilere sürüm notlarını ve değişiklikleri gözden geçirme şansı veriyor.
Kim veya ne etkileniyor?
Dependabot'u aktif olarak kullanan tüm GitHub depoları etkileniyor. Özellikle JavaScript (npm), Python (PyPI), Ruby (RubyGems) gibi ekosistemlerdeki bağımlılıkları otomatik güncelleyen projeler bu değişiklikten doğrudan etkileniyor. Geliştiriciler, güncelleme pull request'lerinin artık üç gün gecikmeli geldiğini görecek. Bu durum, acil güvenlik yamaları için geçerli değil; güvenlik açıkları için Dependabot hâlâ ayrı bir mekanizma kullanıyor (güvenlik güncellemeleri bekleme süresine tabi değil). Ancak sürüm yükseltmeleri için bu gecikme geçerli.
Ne yapılmalı?
Geliştiricilerin bu değişikliği bilerek planlama yapması gerekiyor. Acil bir bağımlılık güncellemesi gerekiyorsa, Dependabot'un bekleme süresini atlamak için pull request'i manuel olarak tetikleyebilirler. Ayrıca, Dependabot ayarlarından bu bekleme süresini özelleştirmek mümkün (örneğin, 0 güne çekmek veya daha uzun yapmak). Güvenlik açısından, bu sürenin bir avantaj olduğunu unutmayın; yeni sürümlerdeki şüpheli değişiklikleri incelemek için zaman ayırın. GitHub'ın bu kararı, tedarik zinciri güvenliğini artırmaya yönelik olumlu bir adım olarak değerlendiriliyor.