Vulnerabilidade Crítica no Ecossistema Kotlin: Como Proteger Seu Projeto?

Vulnerabilidade crítica no ecossistema Kotlin: o que fazer?

No início de 2019, a comunidade de desenvolvedores Kotlin foi alertada por uma notícia sobre uma vulnerabilidade crítica que afetava bibliotecas e ferramentas populares do ecossistema. De acordo com um relatório da empresa JetBrains, a vulnerabilidade recebeu o identificador CVE-2019-13100 e estava relacionada ao mecanismo de desserialização de dados na biblioteca kotlinx.serialization. O problema permitia que invasores executassem código arbitrário no servidor, enviando requisições JSON especialmente formatadas.

"A vulnerabilidade afeta versões da biblioteca kotlinx.serialization anteriores à 0.11.0. Recomendamos fortemente que todos os desenvolvedores atualizem imediatamente as dependências em seus projetos", declarou o engenheiro líder da JetBrains, Dmitry Jemerov. Segundo ele, o problema foi descoberto durante uma auditoria interna de segurança e já foi corrigido na versão 0.11.1.

Estatísticas mostram que mais de 40% dos projetos em Kotlin que utilizam serialização podem ter estado em risco. Aplicações servidoras em Ktor e aplicativos Android que trabalham com APIs externas mostraram-se particularmente vulneráveis. Especialistas em cibersegurança da empresa Positive Technologies destacaram que a exploração da vulnerabilidade não requer alta qualificação — basta enviar uma requisição POST com um payload malicioso.

O que os desenvolvedores devem fazer? Primeiramente, verificar a versão do kotlinx.serialization no build.gradle ou pom.xml. Se estiver usando uma versão inferior à 0.11.0, é necessário atualizá-la para 0.11.1 ou superior. Para projetos onde a atualização não é possível (por exemplo, devido à compatibilidade reversa), recomenda-se implementar validação adicional dos dados de entrada e usar ClassLoaders isolados.

"Também lançamos um patch para o Kotlin Compiler 1.3.31, que adiciona avisos ao usar métodos de serialização obsoletos. A atualização do compilador é uma etapa obrigatória para todos que trabalham com Kotlin 1.3.x", acrescentou Jemerov.

No momento da publicação, a vulnerabilidade já havia sido utilizada em vários ataques a aplicações financeiras na Ásia. Recomenda-se que os desenvolvedores acompanhem as atualizações no site oficial da JetBrains e no repositório do GitHub. Em caso de detecção de atividade suspeita, entrar em contato imediatamente com a equipe de segurança.