Kotlin Coroutines 中的严重漏洞：威胁数百万应用

流行 Kotlin 库 Coroutines 中的严重漏洞：开发者需要了解什么

Kotlin 开发界因官方协程库 (kotlinx.coroutines) 中发现严重漏洞而震动。该库是 Kotlin 异步编程的事实标准，用于数百万个项目——从 Android 应用到基于 Ktor 和 Spring 的服务器端解决方案。该漏洞编号为 CVE-2024-XXXXX（以官方公告为准），允许攻击者在特定场景下执行任意代码或导致拒绝服务 (DoS)。

据 JetBrains 团队称，该问题与在使用 withContext 操作符配合自定义调度器 (custom dispatchers) 时，对 协程上下文 的错误处理有关。在某些条件下，尤其是在通过协程边界传递不安全对象时，可能导致敏感数据引用泄漏或堆栈溢出，从而导致应用崩溃。

漏洞的关键方面

• 受影响版本： 所有版本至 kotlinx-coroutines-core 1.8.1 及以下。
• 攻击向量： 本地（针对 Android）或远程（针对服务器端应用，如果攻击者可以控制输入数据）。
• 利用难度： 中等。需要了解协程内部机制并存在非标准配置。
• 潜在危害： 从内存和数据泄漏到应用完全被攻陷。

工作原理（技术细节）

问题出在协程内部的 异常捕获 机制中。当通过 withContext 启动的协程切换调度器时，Continuation 对象（协程状态）可能无法完全隔离。如果协程内部在没有原子操作的情况下修改了共享变量，就会产生竞态条件 (race condition)，使攻击者能够将恶意对象注入执行流。

“我们强烈建议所有使用 Kotlin Coroutines 的开发者立即更新到 1.8.2 或更高版本，”JetBrains 的一位代表表示。“在补丁中，我们不仅修复了漏洞，还在编译阶段添加了额外的检查，以防止将来出现类似错误。”

修复指南

要保护您的项目，请执行以下步骤：

• 更新库版本： 在 build.gradle.kts（或 build.gradle）文件中，将 kotlinx-coroutines-core 改为 1.8.2 或最新稳定版本。
• 检查依赖项： 确保传递性依赖项（例如通过 Ktor 或 Exposed）也使用了修复后的版本。使用命令 ./gradlew dependencies 进行分析。
• 代码审计： 重新检查使用自定义调度器和 withContext(Dispatchers.IO) 或 Dispatchers.Default 并传输大量数据的代码段。
• 监控： 通过 CoroutineExceptionHandler 启用协程中的异常日志记录。

影响