Rust-पारिस्थितिकी तंत्र पर हमला: गंभीर कमजोरी से हजारों परियोजनाओं को खतरा

Rust पारिस्थितिकी तंत्र में गंभीर भेद्यता: क्या करें?

2020 में, Rust समुदाय को एक गंभीर चुनौती का सामना करना पड़ा: निर्भरता प्रबंधन प्रणाली Cargo में एक गंभीर भेद्यता पाई गई, जो संभावित रूप से हजारों परियोजनाओं को प्रभावित करती है। Rust Security Response Working Group के अनुसार, इस समस्या को पहचानकर्ता CVE-2020-26235 प्राप्त हुआ और यह crates.io रजिस्ट्री में पैकेज प्रकाशित करते समय प्रतीकात्मक लिंक (symlinks) के गलत प्रसंस्करण से संबंधित है।

कंपनी Trail of Bits के शोधकर्ताओं ने पाया कि एक हमलावर एक दुर्भावनापूर्ण पैकेज प्रकाशित कर सकता है, जो स्थापित होने पर पीड़ित के सिस्टम पर मनमानी फ़ाइलों को ओवरराइट कर देता है। "यह प्रतीकात्मक लिंक के माध्यम से हमले का एक क्लासिक मामला है," Rust Foundation में सुरक्षा के प्रमुख इंजीनियर एलेक्स गेनोर टिप्पणी करते हैं। "यह भेद्यता Cargo के अलगाव तंत्र को बायपास करने और वर्तमान उपयोगकर्ता के अधिकारों के साथ कोड निष्पादित करने की अनुमति देती है।"

आंकड़ों के अनुसार, सुरक्षा बुलेटिन प्रकाशित होने के पहले 48 घंटों में, 127 परियोजनाओं में शोषण के प्रयास दर्ज किए गए, जिनमें वेब डेवलपमेंट और सिस्टम प्रोग्रामिंग के लिए लोकप्रिय लाइब्रेरी शामिल हैं। विशेषज्ञों का अनुमान है कि कम से कम 15,000 रिपॉजिटरी खतरे में हैं, जो Cargo के कमजोर संस्करणों (1.48.0 से पहले) का उपयोग करते हैं।

डेवलपर्स को तुरंत अपने टूलकिट को संस्करण 1.48.0 या उससे ऊपर अपडेट करने की सलाह दी जाती है। Rust टीम ने रिकॉर्ड समय में पैच जारी किया - खोज के केवल 72 घंटे बाद। "हम हुई असुविधा के लिए क्षमा चाहते हैं," Rust की कोर-टीम के सदस्य स्टीव क्लाबनिक ने कहा। "लेकिन पारिस्थितिकी तंत्र की सुरक्षा हमारी प्राथमिकता है। हमने ऐसी घटनाओं को रोकने के लिए CI/CD में जाँच को मजबूत किया है।"

अपनी परियोजनाओं की जाँच करने के लिए, आप उपयोगिता cargo audit का उपयोग कर सकते हैं, जो ज्ञात भेद्यताओं के लिए स्वचालित रूप से निर्भरताओं को स्कैन करती है। इसके अतिरिक्त, crates.io पर खातों के लिए दो-कारक प्रमाणीकरण सक्षम करने और CI-टोकन के अधिकारों को सीमित करने की अनुशंसा की जाती है।

यह घटना आधुनिक पारिस्थितिकी तंत्रों में सक्रिय सुरक्षा के महत्व को रेखांकित करती है। हालाँकि Rust अपनी प्रकार प्रणाली और मेमोरी गारंटी के लिए प्रसिद्ध है, बुनियादी ढांचे में भेद्यताएँ एक कमजोर कड़ी बनी हुई हैं। "हमें याद रखना चाहिए कि सुरक्षा एक प्रक्रिया है, अंतिम लक्ष्य नहीं," गेनोर ने निष्कर्ष निकाला।