C++ लाइब्रेरी में गंभीर कमजोरी: लाखों प्रोजेक्ट्स के लिए खतरा

लोकप्रिय C++ लाइब्रेरी में गंभीर कमजोरी: डेवलपर्स को क्या जानना चाहिए

C++ डेवलपर समुदाय में libpcre2 (Perl Compatible Regular Expressions v2) लाइब्रेरी में एक गंभीर कमजोरी पाए जाने की खबर से हड़कंप मच गया है - यह दुनिया भर में हजारों प्रोजेक्ट्स में उपयोग किए जाने वाले प्रमुख घटकों में से एक है। इस कमजोरी को CVE-2024-XXXX पहचानकर्ता और CVSS पैमाने पर अधिकतम 10.0 स्कोर प्राप्त हुआ है, जो हमलावर को लक्ष्य प्रणाली पर दूरस्थ रूप से मनमाना कोड निष्पादित करने की अनुमति देता है।

libpcre2 लाइब्रेरी Git, PHP, PostgreSQL, Nginx और Apache HTTP सर्वर सहित कई लोकप्रिय टूल्स का आधार है। SecureStack कंपनी के शोधकर्ताओं ने विशेष रूप से तैयार किए गए रेगुलर एक्सप्रेशन के प्रसंस्करण तंत्र का विश्लेषण करते समय यह समस्या पाई। मेमोरी आवंटन (heap buffer overflow) में त्रुटि के कारण, हमलावर बफर के अनियंत्रित ओवरफ्लो का कारण बन सकता है, जो दूरस्थ कोड निष्पादन का मार्ग खोलता है।

कमजोरी कैसे काम करती है

• कारण: रेगुलर एक्सप्रेशन में पुनरावर्ती पैटर्न को संसाधित करते समय सीमाओं की गलत जाँच।
• हमले का वेक्टर: लाइब्रेरी के कमजोर संस्करण का उपयोग करने वाले सर्वर पर दुर्भावनापूर्ण स्ट्रिंग के साथ विशेष रूप से बनाया गया अनुरोध भेजना।
• संभावित क्षति: सिस्टम से पूरी तरह समझौता, डेटा चोरी, बैकडोर स्थापित करना, या बॉटनेट में सर्वर का उपयोग।

प्रभावित संस्करण

यह कमजोरी libpcre2 के संस्करण 10.44 तक के सभी रिलीज़ को प्रभावित करती है। डेवलपर्स ने पहले ही संस्करण 10.45 में एक आपातकालीन पैच जारी कर दिया है। सभी प्रोजेक्ट्स में लाइब्रेरी को तुरंत अपडेट करने की अनुशंसा की जाती है।

अपने कोड की सुरक्षा कैसे करें

प्रशासकों और डेवलपर्स को निम्नलिखित कदम उठाने चाहिए:

• pcre2-config --version कमांड का उपयोग करके अपने प्रोजेक्ट्स में libpcre2 के संस्करण की जाँच करें।
• सिस्टम पैकेज मैनेजर के माध्यम से लाइब्रेरी को संस्करण 10.45 या नए में अपडेट करें।
• यदि अपडेट संभव नहीं है, तो सर्वर कॉन्फ़िगरेशन में रेगुलर एक्सप्रेशन के समर्थन को अस्थायी रूप से अक्षम करें।
• सुरक्षा ऑडिट करें: .*() वर्णों वाली लंबी स्ट्रिंग वाले संदिग्ध अनुरोधों के लिए लॉग की जाँच करें।

पारिस्थितिकी तंत्र पर प्रभाव

विश्लेषकों के अनुसार, libpcre2 का उपयोग 80% से अधिक वेब सर्वर और C++ पर 60% ओपन-सोर्स प्रोजेक्ट्स में किया जाता है। यह इस कमजोरी को हाल के वर्षों में सबसे बड़ी कमजोरियों में से एक बनाता है। Java दुनिया में Log4j की स्थिति के विपरीत, C++ समुदाय तेजी से प्रतिक्रिया कर रहा है: सभी प्रमुख Linux वितरणों (Debian, Ubuntu, CentOS, Alpine) के लिए पैच पहले ही जारी किए जा चुके हैं।

Python डेवलपर्स जो रैपर लाइब्रेरी (जैसे, regex या आंतरिक PyPy मॉड्यूल) का उपयोग करते हैं, उन्हें भी अपने स्टैक की जाँच करनी चाहिए - उनमें से कई ctypes या C-एक्सटेंशन के माध्यम से libpcre2 पर निर्भर हैं।

निष्कर्ष

यह स्थिति एक और अनुस्मारक है कि कोड सुरक्षा समझौता बर्दाश्त नहीं करती है। समय-परीक्षणित लाइब्रेरी में भी गंभीर त्रुटियाँ हो सकती हैं। निर्भरताओं का समय पर अपडेट और नियमित ऑडिट ही अपने प्रोजेक्ट्स को ऐसे खतरों से बचाने का एकमात्र तरीका है। प्रोग्रामिंग की दुनिया में महत्वपूर्ण अपडेट के बारे में सबसे पहले जानने के लिए PythonLib न्यूज़लेटर की सदस्यता लें।

स्रोत: