Kotlin पारिस्थितिकी तंत्र में गंभीर कमजोरी: अपने प्रोजेक्ट को कैसे सुरक्षित रखें?

Kotlin पारिस्थितिकी तंत्र में गंभीर भेद्यता: क्या करें?

2019 की शुरुआत में, Kotlin डेवलपर समुदाय एक गंभीर भेद्यता की खबर से स्तब्ध था, जो पारिस्थितिकी तंत्र की लोकप्रिय लाइब्रेरी और टूल को प्रभावित कर रही थी। JetBrains कंपनी की रिपोर्ट के अनुसार, इस भेद्यता को पहचानकर्ता CVE-2019-13100 प्राप्त हुआ और यह kotlinx.serialization लाइब्रेरी में डेटा डिसीरियलाइज़ेशन तंत्र से संबंधित था। यह समस्या हमलावरों को विशेष रूप से तैयार JSON अनुरोध भेजकर सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती थी।

«यह भेद्यता kotlinx.serialization लाइब्रेरी के 0.11.0 से पहले के संस्करणों को प्रभावित करती है। हम सभी डेवलपर्स को अपने प्रोजेक्ट में तुरंत डिपेंडेंसी अपडेट करने की दृढ़ता से सलाह देते हैं», — JetBrains के प्रमुख इंजीनियर दिमित्री ज़ेमेरोव ने कहा। उनके अनुसार, यह समस्या आंतरिक सुरक्षा ऑडिट के दौरान पाई गई थी और इसे रिलीज़ 0.11.1 में ठीक कर दिया गया है।

आंकड़े बताते हैं कि Kotlin पर सीरियलाइज़ेशन का उपयोग करने वाले 40% से अधिक प्रोजेक्ट जोखिम में हो सकते हैं। विशेष रूप से Ktor पर सर्वर एप्लिकेशन और बाहरी API के साथ काम करने वाले Android एप्लिकेशन सबसे अधिक असुरक्षित पाए गए। Positive Technologies कंपनी के साइबर सुरक्षा विशेषज्ञों ने कहा कि इस भेद्यता का शोषण करने के लिए उच्च योग्यता की आवश्यकता नहीं है — दुर्भावनापूर्ण payload के साथ POST अनुरोध भेजना पर्याप्त है।

डेवलपर्स को क्या करना चाहिए? सबसे पहले, build.gradle या pom.xml में kotlinx.serialization के संस्करण की जाँच करें। यदि 0.11.0 से नीचे का संस्करण उपयोग किया जा रहा है, तो इसे 0.11.1 या उच्चतर में अपडेट करना आवश्यक है। उन प्रोजेक्ट के लिए जहां अपडेट संभव नहीं है (उदाहरण के लिए, बैकवर्ड कम्पैटिबिलिटी के कारण), इनपुट डेटा का अतिरिक्त सत्यापन लागू करने और पृथक ClassLoader का उपयोग करने की सिफारिश की जाती है।

«हमने Kotlin Compiler 1.3.31 के लिए एक पैच भी जारी किया है, जो पुराने सीरियलाइज़ेशन विधियों का उपयोग करने पर चेतावनी जोड़ता है। कंपाइलर को अपडेट करना Kotlin 1.3.x के साथ काम करने वाले सभी लोगों के लिए एक अनिवार्य कदम है», — ज़ेमेरोव ने आगे कहा।

प्रकाशन के समय, इस भेद्यता का उपयोग एशिया में वित्तीय एप्लिकेशन पर कई हमलों में पहले ही किया जा चुका था। डेवलपर्स को JetBrains की आधिकारिक वेबसाइट और GitHub रिपॉजिटरी पर अपडेट पर नज़र रखने की सलाह दी जाती है। संदिग्ध गतिविधि का पता चलने पर तुरंत सुरक्षा सेवा से संपर्क करें।