Kubernetes üzerinde makine öğrenmesi iş akışlarını kurmak ve çalıştırmak için kullanılan açık kaynak platform Kubeflow Pipelines, 9 Kasım’da aynı anda beş güvenlik bildirimi yayımladı. Bunların en ciddisi olan CVE-2026-77596, 10 üzerinden 9,6 puanla kritik olarak derecelendirildi. Açık, birden fazla ekibin ya da müşterinin aynı Kubeflow kurulumunu paylaştığı çok kullanıcılı ortamlarda, kuruluş genelinde ortak kullanılan pipeline’ların ele geçirilebilmesine yol açıyor.
Açık nasıl çalışıyor?
Kubeflow Pipelines’ta bir pipeline, veri hazırlamadan model eğitimine ve dağıtıma kadar bir dizi adımı tanımlayan iş akışıdır. Çok kullanıcılı modda her ekip kendi ad alanında çalışır; bazı pipeline’lar ise herkesin kullanımına açık, paylaşılan pipeline olarak tanımlanır. Sistem, paylaşılan pipeline’ları ad alanı alanı boş bırakılarak adresliyor; bu alan hiç gönderilmediğinde de varsayılan davranış aynı.
Güvenlik bildirimine göre pipeline yükleme ve yeni sürüm yükleme uç noktaları, ad alanı boş olduğunda Kubernetes’in yetki kontrolünü hiç yapmıyor. Bu da düşük yetkili herhangi bir kiracının, hatta API sunucusuna ağ üzerinden ulaşabiliyorsa kimliği doğrulanmamış birinin, paylaşılan pipeline’lara yeni sürümler enjekte edebilmesi anlamına geliyor. Bu sürümleri çalıştıran diğer ekipler, farkında olmadan saldırganın eklediği adımları kendi kaynaklarıyla yürütmüş oluyor.
Aynı gün duyurulan diğer dört açık
- CVE-2026-88984 (CVSS v4: 7,2): Paylaşılan pipeline’ların rol tabanlı erişim kontrolü olmadan değiştirilebilmesi ya da silinebilmesi.
- CVE-2026-88982 (5,4): Eski V1/Argo önbelleğinde kiracılar arası önbellek zehirleme. Bir ekibin ürettiği sahte sonuç, başka bir ekibin çalıştırmasında yeniden kullanılabiliyor.
- CVE-2026-88985: Sayfalama belirteçleri üzerinden SQL enjeksiyonu.
- CVE-2026-88983: Pipeline adresinin, sunucu adı doğrulanmadan indirilmesi; bu da iç ağdaki adreslere istek attırmak için kullanılabiliyor.
Yapay zekâ altyapısı için neden önemli?
Kurumlar model eğitimi ve değerlendirme süreçlerini giderek daha fazla paylaşılan platformlarda topluyor. Bir pipeline’a eklenen tek bir kötü niyetli adım; eğitim verisini sızdırabilir, model ağırlıklarını değiştirebilir, GPU kaynaklarını kripto para madenciliğine çevirebilir ya da kümede tutulan bulut kimlik bilgilerini ele geçirebilir. Bu nedenle çok kiracılı makine öğrenmesi platformlarındaki yetki hataları, klasik web uygulamalarındaki benzerlerinden daha geniş sonuçlar doğurabiliyor.
Bu haftaki açıklar, güvenlik çevrelerinin son günlerde sık sık dile getirdiği bir noktayı da doğruluyor: Sorun çoğu zaman karmaşık bir istismar değil, varsayılan ayarlar. Kubeflow örneğinde boş bırakılan bir ad alanı alanı, yetki kontrolünün tamamen atlanmasına yetiyor.
Ne yapmalısınız?
- Kubeflow Pipelines’ı bu düzeltmeleri içeren bir sürüme güncelleyin. Düzeltmeler projenin ana kod deposuna eklendi.
- Güncelleme sonrasında REQUIRE_NAMESPACE_FOR_PIPELINES ayarını etkinleştirerek ad alanı belirtilmeyen isteklerin reddedilmesini sağlayın.
- Paylaşılan pipeline’ların sürüm geçmişini inceleyin; kimin ne zaman yeni sürüm yüklediğini kontrol edin.
- Pipeline API sunucusunu internete ve gereksiz iç ağlara kapatın.
- Eski V1/Argo önbelleğini kullanıyorsanız önbelleği temizlemeyi değerlendirin.
Kaynak: Kubeflow GitHub güvenlik bildirimleri
