TypeScript लाइब्रेरी में गंभीर सुरक्षा कमजोरी: लाखों प्रोजेक्ट्स के लिए खतरा

लोकप्रिय TypeScript लाइब्रेरी में गंभीर सुरक्षा कमजोरी का पता चला: डेवलपर्स को क्या जानना चाहिए

TypeScript डेवलपर समुदाय में इस खबर से हलचल मच गई है कि पारिस्थितिकी तंत्र की सबसे अधिक उपयोग की जाने वाली लाइब्रेरी में से एक में एक गंभीर सुरक्षा कमजोरी पाई गई है। इस समस्या को पहचानकर्ता CVE-2024-XXXX (नंबर आवंटित किया गया है, लेकिन सुधारों के समन्वय के लिए अस्थायी रूप से छिपाया गया है) दिया गया है, जो दुनिया भर में लाखों प्रोजेक्ट्स को प्रभावित करती है और सर्वर एप्लिकेशन से समझौता करने और संवेदनशील डेटा के लीक होने का कारण बन सकती है।

समस्या का सार: एक्सप्लॉइट कैसे काम करता है

यह सुरक्षा कमजोरी डेटा वैलिडेशन और पार्सिंग के लिए लोकप्रिय लाइब्रेरी (अनंतिम नाम — @fast-validate/types) के अंदर उपयोगकर्ता इनपुट प्रोसेसिंग तंत्र में पाई गई है। यह समस्या Prototype Pollution (प्रोटोटाइप प्रदूषण) वर्ग से संबंधित है। एक हमलावर, विशेष रूप से तैयार JSON अनुरोध भेजकर, Node.js रनटाइम वातावरण में बेस ऑब्जेक्ट Object.prototype के गुणों को ओवरराइट कर सकता है।

यह निम्नलिखित की अनुमति देता है:

• एप्लिकेशन के तर्क को बदलना: दुर्भावनापूर्ण फ़ंक्शन सम्मिलित करना या मौजूदा जाँचों को बदलना।
• प्रमाणीकरण को बायपास करना: सभी ऑब्जेक्ट्स के लिए isAdmin: true गुण सेट करना।
• मनमाना कोड निष्पादित करना (RCE): कुछ परिदृश्यों में — हमलावर को नियंत्रण सौंपना।
• सेवा से इनकार (DoS) का कारण बनना: अनंत पुनरावृत्तियों के साथ मेमोरी या प्रोसेसर को ओवरलोड करना।

कौन से संस्करण प्रभावित हैं

सुरक्षा शोधकर्ताओं के अनुसार, यह सुरक्षा कमजोरी 2021 से संस्करण 3.2.8 तक जारी लाइब्रेरी के सभी संस्करणों में मौजूद है। सुधार संस्करण 3.2.9 में जारी किया गया था (पैच 15 अक्टूबर 2024 से उपलब्ध है)।

प्रभावित प्रोजेक्ट्स:

• Node.js + Express/Fastify पर सर्वर एप्लिकेशन।
• API गेटवे और माइक्रोसर्विसेज।
• फॉर्म और डेटा इनपुट प्रोसेसिंग के लिए उपकरण।
• कोई भी प्रोजेक्ट जो नेस्टेड ऑब्जेक्ट्स की रिकर्सिव वैलिडेशन का उपयोग करता है।

समाधान के लिए सिफारिशें

डेवलपर्स को दृढ़ता से सलाह दी जाती है कि वे तुरंत लाइब्रेरी को नवीनतम संस्करण में अपडेट करें। जो लोग अभी अपडेट नहीं कर सकते, उनके लिए अस्थायी सुरक्षा उपाय सुझाए गए हैं:

• अपडेट: npm update @fast-validate/types चलाएँ या package.json में संस्करण को ^3.2.9 में बदलें।
• अस्थायी फिक्स: इनकमिंग JSON अनुरोधों को फ़िल्टर करने के लिए middleware का उपयोग करें, __proto__, constructor और prototype कुंजियों को ब्लॉक करें।
• निगरानी: अनुरोध निकाय में संदिग्ध पैटर्न का पता लगाने के लिए इंट्रूज़न डिटेक्शन सिस्टम (IDS) सेट अप करें।
• ऑडिट: npm audit का उपयोग करके अपने प्रोजेक्ट्स में इस लाइब्रेरी की उपस्थिति की जाँच करें।

निष्कर्ष और पूर्वानुमान

TypeScript लाइब्रेरी में यह सुरक्षा कमजोरी आपूर्ति श्रृंखला सुरक्षा (supply chain security) के महत्व की एक गंभीर याद दिलाती है। एक छोटी और अत्यधिक विशिष्ट लाइब्रेरी भी बड़े पैमाने पर हमले के लिए प्रवेश बिंदु बन सकती है। डेवलपर्स को सलाह दी जाती है कि वे नियमित रूप से निर्भरताओं का ऑडिट करें, सुरक्षा अद्यतनों के बारे में सूचनाओं की सदस्यता लें, और संभावित खतरों से बचने के लिए अपने कोडबेस को अपडेट रखें।