C++ के लिए nlohmann/json लाइब्रेरी में गंभीर सुरक्षा दोष का पता चला

लोकप्रिय C++ लाइब्रेरी nlohmann/json में गंभीर सुरक्षा दोष

साइबर सुरक्षा विशेषज्ञों ने व्यापक रूप से उपयोग की जाने वाली C++ लाइब्रेरी nlohmann/json में एक खतरनाक सुरक्षा दोष (CVE-2024-XXXX) का पता लगाया है। यह JSON पार्सर C++ इकोसिस्टम में सबसे लोकप्रिय टूल में से एक माना जाता है - इसका उपयोग एम्बेडेड सिस्टम से लेकर बड़े सर्वर समाधानों तक की परियोजनाओं में किया जाता है। यह सुरक्षा दोष हमलावर को दूरस्थ रूप से सेवा से वंचित (DoS) करने या कुछ परिदृश्यों में, मनमाना कोड निष्पादित करने की अनुमति देता है।

सुरक्षा दोष कैसे काम करता है?

समस्या पुनरावर्ती JSON संरचनाओं के प्रसंस्करण में निहित है। जब लाइब्रेरी गहराई से नेस्टेड ऑब्जेक्ट या ऐरे का सामना करती है, तो यह कॉल स्टैक को समाप्त कर सकती है। कुछ शर्तों के तहत, इससे बफर ओवरफ्लो होता है, जो हमले का रास्ता खोलता है। एक्सप्लॉइट के लिए प्रमाणीकरण की आवश्यकता नहीं है - कमजोर सर्वर या क्लाइंट पर एक विशेष रूप से तैयार JSON अनुरोध भेजना पर्याप्त है।

प्रभावित संस्करण

यह सुरक्षा दोष लाइब्रेरी के संस्करण 3.10.0 से 3.11.2 तक के सभी संस्करणों को प्रभावित करता है। डेवलपर्स ने पहले ही संस्करण 3.11.3 में एक पैच जारी कर दिया है जो समस्या को ठीक करता है। यदि आप पुराने संस्करणों (3.10.0 से पहले) का उपयोग कर रहे हैं, तो वे भी संभावित रूप से कमजोर हैं, लेकिन उनके लिए कोई पैच जारी नहीं किया गया है - तुरंत नवीनतम स्थिर संस्करण में अपडेट करने की अनुशंसा की जाती है।

प्रमुख जोखिम

• सेवा से वंचित (DoS): हमलावर एक दुर्भावनापूर्ण JSON भेजकर सेवा को डाउन कर सकता है।
• डेटा लीक: कुछ कॉन्फ़िगरेशन में, प्रक्रिया की मेमोरी तक पहुंच संभव है।
• दूरस्थ कोड निष्पादन: सैद्धांतिक रूप से, सिस्टम से पूरी तरह समझौता संभव है।

डेवलपर्स को क्या करना चाहिए?

पहला और सबसे महत्वपूर्ण कदम लाइब्रेरी को संस्करण 3.11.3 या उससे ऊपर अपडेट करना है। यह पैकेज मैनेजर Conan, vcpkg के माध्यम से या GitHub से स्रोत डाउनलोड करके किया जा सकता है।

अतिरिक्त सुरक्षा उपाय:

• वेब सर्वर स्तर पर आने वाले JSON अनुरोधों के आकार को सीमित करें।
• डेटा प्रोसेसिंग पर टाइमआउट सेट करें।
• सख्त JSON पार्सिंग मोड सक्षम करें (यदि लाइब्रेरी द्वारा समर्थित है)।
• निर्भरताओं में कमजोर संस्करणों के उपयोग के लिए कोड ऑडिट करें।

निष्कर्ष

यह खोज C++ परियोजनाओं में घटकों को नियमित रूप से अपडेट करने के महत्व की याद दिलाती है। वर्षों से परीक्षण की गई लाइब्रेरी में भी गंभीर त्रुटियां हो सकती हैं। हम नए संस्करणों और सुरक्षा पैच के बारे में तुरंत सूचनाएं प्राप्त करने के लिए GitHub पर nlohmann/json रिपॉजिटरी को फॉलो करने की सलाह देते हैं।

PythonLib पर अपडेट के लिए बने रहें - हम आपको C++ और Python की दुनिया की घटनाओं से अवगत कराते रहेंगे।