Swift लाइब्रेरी में गंभीर कमजोरी: iOS और macOS के लिए खतरा

लोकप्रिय Swift (iOS/macOS) लाइब्रेरी में गंभीर कमजोरी: डेवलपर्स को क्या जानना चाहिए

Apple का इकोसिस्टम हमेशा अपनी सुरक्षा के लिए प्रसिद्ध रहा है, हालांकि सबसे विश्वसनीय वातावरण में भी कभी-कभी गंभीर कमजोरियां पाई जाती हैं। इस सप्ताह, Wardle Security कंपनी के साइबर सुरक्षा शोधकर्ताओं ने Swift (iOS और macOS) के लिए व्यापक रूप से उपयोग की जाने वाली लाइब्रेरी में एक खतरनाक त्रुटि की सूचना दी। इस समस्या को पहचानकर्ता CVE-2024-27818 दिया गया है और यह हजारों ऐप्स को प्रभावित करता है, जिसमें कॉर्पोरेट और बैंकिंग समाधान शामिल हैं।

कमजोरी का सार

लाइब्रेरी SwiftSecureNetworking (छद्म नाम, आधिकारिक पैच तक सुरक्षा कारणों से वास्तविक नाम बदल दिया गया है) का उपयोग iOS और macOS ऐप्स में नेटवर्क कनेक्शन को एन्क्रिप्ट करने और प्रमाणपत्रों को संसाधित करने के लिए किया जाता है। कमजोरी TLS 1.3 प्रोटोकॉल का उपयोग करते समय SSL प्रमाणपत्र श्रृंखला की गलत जांच से संबंधित है। एक हमलावर प्रमाणपत्र को जाली बना सकता है और डिवाइस और सर्वर के बीच प्रेषित सभी डेटा को इंटरसेप्ट करते हुए दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है।

रिपोर्ट के अनुसार, कमजोरी लाइब्रेरी के संस्करण 2.1.0 से 2.6.3 को प्रभावित करती है। इसका शोषण करने के लिए डिवाइस तक भौतिक पहुंच की आवश्यकता नहीं है — यह पर्याप्त है कि उपयोगकर्ता एक असुरक्षित Wi-Fi नेटवर्क से जुड़ता है या फ़िशिंग लिंक पर क्लिक करता है।

संभावित जोखिम

• क्रेडेंशियल्स की चोरी — लॉगिन, पासवर्ड और प्रमाणीकरण टोकन इंटरसेप्ट किए जा सकते हैं।
• वित्तीय जानकारी का रिसाव — इस लाइब्रेरी का उपयोग करने वाले बैंकिंग ऐप खतरे में हैं।
• दुर्भावनापूर्ण सॉफ़्टवेयर का इंजेक्शन — प्रमाणपत्र प्रतिस्थापन के माध्यम से डिवाइस पर दुर्भावनापूर्ण कोड डाउनलोड किया जा सकता है।
• संचार की गोपनीयता का उल्लंघन — मैसेंजर और ईमेल क्लाइंट भी समझौता किए जा सकते हैं।

जोखिम क्षेत्र में कौन है?

यह समस्या उन ऐप्स से संबंधित है जो HTTPS अनुरोधों, WebSocket कनेक्शन और push सूचनाओं को संसाधित करने के लिए SwiftSecureNetworking का उपयोग करते हैं। विशेष रूप से कमजोर हैं:

• वित्तीय ऐप्स (इंटरनेट बैंकिंग, क्रिप्टो वॉलेट)
• चिकित्सा सेवाएं (टेलीमेडिसिन, मेडिकल रिकॉर्ड भंडारण)
• दूरस्थ कार्य के लिए कॉर्पोरेट ऐप्स
• iPhone/Mac से नियंत्रित IoT उपकरणों के लिए ऐप्स

डेवलपर्स के लिए सिफारिशें

Swift पर ऐप डेवलपर्स को दृढ़ता से सलाह दी जाती है:

• लाइब्रेरी को अपडेट करें संस्करण 2.7.0 या उससे ऊपर (पैच पहले ही जारी किया जा चुका है)।
• निर्भरताओं की जांच करें Swift Package Manager के माध्यम से — कमजोर संस्करण ट्रांज़िटिव रूप से जुड़ा हो सकता है।
• कोड ऑडिट करें पुराने एन्क्रिप्शन विधियों के उपयोग के लिए।
• सर्वर साइड पर नेटवर्क कनेक्शन की निगरानी बढ़ाएं।

समुदाय की प्रतिक्रिया

Apple Developer और GitHub फ़ोरम पर पहले से ही सक्रिय चर्चा शुरू हो गई है। कई डेवलपर्स ध्यान देते हैं कि यह कमजोरी खोजे जाने से पहले एक वर्ष से अधिक समय तक मौजूद रह सकती थी। कुछ विशेषज्ञ App Store में तृतीय-पक्ष लाइब्रेरी की अपर्याप्त स्वचालित जांच के लिए Apple की आलोचना करते हैं। "यह एक अनुस्मारक है कि Apple के इकोसिस्टम में भी सुरक्षा के लिए निरंतर ध्यान देने की आवश्यकता है।"