pip CVE-2025-8869 Guvenlik Acigi: Path Traversal Zafiyeti ve Korunma Rehberi (2026)

Zafiyet Mekanizması / Vulnerability Mechanism:

Senaryo (Scenario):
1. Saldırgan, kötü amaçlı bir Python paketi oluşturur
2. Paket içinde symlink içeren tar arşivi vardır
3. Symlink, arşiv dışına (../../etc/passwd gibi) işaret eder
4. pip paketi kurarken symlink'i takip eder
5. Saldırgan, sistem dosyalarına erişebilir veya üzerine yazabilir

Örnek Saldırı Vektörü:
malicious-package.tar.gz
├── malicious-package/
│   ├── setup.py
│   └── data -> ../../../etc/  (symlink outside archive)

Güvensiz Kod Örneği / Insecure Code Example:

# Bu tür kod güvensiz (ÖRNEK - kullanmayın)
import tarfile

with tarfile.open("package.tar.gz") as tar:
    tar.extractall(path="./destination")  # ❌ Symlink kontrolü yok!

# Güvenli alternatif (pip 26.0+ hedefi)
with tarfile.open("package.tar.gz") as tar:
    # Her üyeyi kontrol et
    for member in tar.getmembers():
        if member.issym() or member.islnk():
            # Symlink'in hedefini kontrol et
            if is_path_traversal(member.linkname):
                raise SecurityError("Path traversal detected!")
    tar.extractall(path="./destination", filter='data')

pip 26.0 Davranışı / pip 26.0 Behavior:

# pip 26.0+ ile
pip install malicious-package

# Sonuç:
ERROR: Source distribution includes symlink pointing outside archive.
Installation aborted for security reasons.

Yüksek Risk Grupları / High Risk Groups:

? Yüksek Risk:
- Bilinmeyen kaynaklardan paket kuranlar
- CI/CD pipeline'larında otomatik pip install
- Private PyPI mirror kullananlar
- requirements.txt'te unpinned versiyonlar

? Orta Risk:
- Sadece güvenilir paketler kuranlar
- Virtual environment kullananlar
- Pinned versions kullananlar

? Düşük Risk:
- Sadece PyPI resmi paketleri
- Kurumsal güvenlik politikaları olanlar
- Container'larda izole çalışanlar

pip Güncelleme / Update pip:

# pip'i güncelle
python -m pip install --upgrade pip

# Mevcut versiyonu kontrol et
pip --version

# pip 26.0+ önerilir (mevcut olduğunda)

venv Kullanımı / Using venv:

# Virtual environment oluştur
python -m venv myenv

# Aktive et (Linux/macOS)
source myenv/bin/activate

# Aktive et (Windows)
myenv\Scripts\activate

# İzole ortamda çalış

Güvenli Kurulum / Secure Installation:

# Sadece PyPI'dan yükle
pip install --index-url https://pypi.org/simple/ package-name

# Extra index kullanmaktan kaçının (güvenmiyorsanız)
# pip install --extra-index-url ... ❌

# Hash doğrulaması kullan
pip install --require-hashes -r requirements.txt

Hash ile requirements.txt / requirements.txt with Hashes:

# requirements.txt
requests==2.31.0 \
    --hash=sha256:58cd2187c01e70e6e26505bca751777aa9f2ee0b7f4300988b709f44e013003f

# pip-tools ile hash oluşturma
pip-compile --generate-hashes requirements.in

Güvenlik Araçları / Security Tools:

# pip-audit ile zafiyet taraması
pip install pip-audit
pip-audit

# safety ile kontrol
pip install safety
safety check

# Snyk ile tarama
snyk test

Docker ile İzolasyon / Docker Isolation:

# Dockerfile
FROM python:3.12-slim

# Non-root user oluştur
RUN useradd -m appuser
USER appuser

# pip install (izole ortamda)
RUN pip install --user -r requirements.txt

❌ Hata 1: pip upgrade sırasında Conflict Error

ERROR: Error while checking for conflicts.
pip._vendor.packaging.version.InvalidVersion

Çözüm (Solution): Geçersiz metadata'lı paketi bulun ve yeniden kurun:

# Sorunlu paketi bul
pip list --format=json | python -c "import sys,json; [print(p['name']) for p in json.load(sys.stdin)]"

# Veya tüm paketleri yeniden kur
pip freeze > requirements.txt
pip uninstall -y -r requirements.txt
pip install -r requirements.txt

❌ Hata 2: Dependency Group Not Found

Error: Dependency group 'dev' not found

Çözüm (Solution): pip 26.0'da düzeltildi. Grup adlarını normalize edin veya pip'i güncelleyin.

❌ Hata 3: SSL Certificate Verify Failed

ERROR: Could not fetch URL: SSL: CERTIFICATE_VERIFY_FAILED

Çözüm (Solution):

# Sertifikaları güncelle (macOS)
/Applications/Python\ 3.x/Install\ Certificates.command

# Veya certifi'yi güncelle
pip install --upgrade certifi

# Geçici çözüm (güvenli değil, sadece test için)
pip install --trusted-host pypi.org package-name

❌ Hata 4: No Matching Distribution Found

ERROR: No matching distribution found for package==1.2.3

Çözüm (Solution):

# Python versiyonunu kontrol et
python --version

# Mevcut versiyonları listele
pip index versions package-name

# Uyumlu versiyon kur
pip install "package>=1.0,<2.0"