TypeScript लाइब्रेरी में गंभीर कमजोरी: लाखों प्रोजेक्ट्स के लिए खतरा

लोकप्रिय TypeScript लाइब्रेरी में गंभीर कमजोरी: डेवलपर्स को क्या जानना चाहिए

15 मार्च 2025 को, डेवलपर समुदाय TypeScript इकोसिस्टम की सबसे लोकप्रिय लाइब्रेरी में से एक — ts-validator-core (संस्करण 2.4.0 — 3.1.5) में गंभीर कमजोरी का पता चलने की खबर से हिल गया था। इस कमजोरी को पहचानकर्ता CVE-2025-12345 दिया गया है, जो हमलावरों को जटिल प्रकारों को पार्स करते समय इनपुट डेटा में हेरफेर करके सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देता है। विशेषज्ञों के अनुमान के अनुसार, इस लाइब्रेरी का उपयोग GitHub पर 1.2 मिलियन से अधिक प्रोजेक्ट्स में किया जाता है, जिसमें बड़े कॉर्पोरेट समाधान और फ्रेमवर्क शामिल हैं।

कमजोरी का विवरण

समस्या parseRecursive फ़ंक्शन में है, जो नेस्टेड ऑब्जेक्ट्स और ऐरे को प्रोसेस करता है। रिकर्सन सीमाओं की अपर्याप्त जांच के कारण, एक हमलावर एक विशेष रूप से तैयार JSON ऑब्जेक्ट भेज सकता है जो स्टैक ओवरफ्लो का कारण बनता है। हालांकि, प्रोटोटाइप प्रदूषण (prototype pollution) के माध्यम से हमले का वेक्टर अधिक खतरनाक पाया गया: कुछ शर्तों के तहत, दुर्भावनापूर्ण डेटा को ग्लोबल ऑब्जेक्ट Object.prototype में इंजेक्ट किया जा सकता है, जो सर्वर-साइड कमांड निष्पादन का मार्ग खोलता है।

• खतरे वाले संस्करण: 2.4.0 — 3.1.5 (जनवरी 2024 के बाद जारी सभी संस्करण)।
• हमले का वेक्टर: दूरस्थ, बिना प्रमाणीकरण के (CVSS 9.8)।
• संभावित क्षति: सर्वर का पूर्ण समझौता, डेटा लीक, बैकडोर का इंजेक्शन।
• खोज: SecureStack सुरक्षा टीम द्वारा ओपन-सोर्स प्रोजेक्ट्स के ऑडिट के दौरान।

जोखिम में कौन है?

वे सभी प्रोजेक्ट्स जो उपयोगकर्ता इनपुट को प्रोसेस करने के लिए ts-validator-core का उपयोग करते हैं, विशेष रूप से REST API और माइक्रोसर्विस आर्किटेक्चर वाले वेब एप्लिकेशन, खतरे में हैं। इस लाइब्रेरी का उपयोग करने वाले ज्ञात प्रोजेक्ट्स में NestJS-Admin, TypeORM-Plus और Angular-Universal-Tools शामिल हैं। डेवलपर्स को दृढ़ता से सलाह दी जाती है कि वे कमांड के माध्यम से अपनी निर्भरताओं की जाँच करें:

npm list ts-validator-core या yarn why ts-validator-core

सुरक्षा के लिए सिफारिशें

लाइब्रेरी के मुख्य डेवलपर ने पहले ही संस्करण 3.1.6 में एक पैच जारी कर दिया है। अपडेट करने तक अस्थायी उपाय:

• तत्काल अपडेट: npm update ts-validator-core@3.1.6 या yarn upgrade ts-validator-core@3.1.6 चलाएँ।
• इनपुट डेटा का सत्यापन: खतरनाक payload को फ़िल्टर करने के लिए JSON Schema या zod के माध्यम से मध्यवर्ती जाँच का उपयोग करें।
• निगरानी: गहराई से नेस्टेड ऑब्जेक्ट्स (10 से अधिक स्तरों की गहराई) वाले अनुरोधों को ब्लॉक करने के लिए WAF (Web Application Firewall) में नियम जोड़ें।
• निर्भरता ऑडिट: नियमित रूप से npm audit चलाएँ और Snyk या Dependabot जैसे टूल का उपयोग करें।

निष्कर्ष

यह घटना एक बार फिर याद दिलाती है कि सबसे लोकप्रिय और परीक्षित लाइब्रेरी भी गंभीर त्रुटियों से अछूती नहीं हैं। TypeScript, अपनी सख्त टाइपिंग के बावजूद, रनटाइम स्तर पर तार्किक दोषों से रक्षा नहीं करता है। डेवलप