CVE-2023-26136 के लिए tough-cookie 2.5.0 का फिक्स

मिशन अवलोकन

यह परियोजना CVE-2023-26136 को संबोधित करती है, जो tough-cookie के संस्करण 4.1.3 से पहले वाले संस्करणों में एक गंभीर प्रोटोटाइप प्रदूषण भेद्यता है। यह भेद्यता Penguin Software Inc. के वेब एप्लिकेशन को प्रभावित करती है, जो कुकी प्रसंस्करण के लिए [email protected] का उपयोग करता है।

भेद्यता विवरण

CVE-2023-26136 एक प्रोटोटाइप प्रदूषण भेद्यता है जो तब होती है जब CookieJar का उपयोग rejectPublicSuffixes=false के साथ किया जाता है। समस्या MemoryCookieStore वर्ग में अनुचित ऑब्जेक्ट आरंभीकरण से उत्पन्न होती है, जिससे हमलावर दुर्भावनापूर्ण रूप से तैयार किए गए कुकी डोमेन के माध्यम से Object.prototype में गुणों को इंजेक्ट कर सकते हैं।

तकनीकी विवरण

भेद्यता lib/memstore.js में मौजूद है जहाँ कुकीज़ को सादे जावास्क्रिप्ट ऑब्जेक्ट ({}) का उपयोग करके संग्रहीत किया जाता है। चूँकि ये ऑब्जेक्ट Object.prototype से विरासत प्राप्त करते हैं, हमलावर __proto__, constructor, या prototype जैसे डोमेन वाली कुकीज़ सेट करके इसका शोषण कर सकते हैं, जिससे प्रोटोटाइप प्रदूषण होता है।

समाधान

पैच कार्यान्वयन

फिक्स MemoryCookieStore वर्ग में सभी {} के उदाहरणों को Object.create(null) से बदल देता है:

// पहले (असुरक्षित)
this.idx = {};

// बाद में (ठीक किया गया)
this.idx = Object.create(null);

यह परिवर्तन बिना प्रोटोटाइप श्रृंखला वाले ऑब्जेक्ट बनाकर प्रोटोटाइप प्रदूषण को रोकता है, जिससे कुकी भंडारण को अनावश्यक विरासत से प्रभावी रूप से अलग किया जाता है।

संशोधित फ़ाइलें

• lib/memstore.js: Object.create(null) का उपयोग करने के लिए ऑब्जेक्ट आरंभीकरण अपडेट किया गया

परियोजना संरचना

├── README.md                    # यह फ़ाइल
├── changes.diff                 # Git-संगत diff फ़ाइल
├── test-cve-2023-26136.js      # फिक्स के लिए यूनिट टेस्ट
├── tough-cookie/
│   ├── index.js                 # शोषण प्रदर्शन
│   ├── Original v2.5.0/         # मूल असुरक्षित संस्करण
│   ├── v2.5.0-PATCHED/          # पैच किया गया संस्करण
│   │   └── tough-cookie-2.5.0.tgz  # पैक किया गया संस्करण
│   └── package.json
└── mission.txt                  # मूल मिशन आवश्यकताएँ

स्थापना और परीक्षण

1. पैक किया गया संस्करण (.tgz)

पैच किया गया संस्करण tough-cookie/v2.5.0-PATCHED/tough-cookie-2.5.0.tgz के रूप में उपलब्ध है।

स्थापित करने के लिए:

npm install ./tough-cookie/v2.5.0-PATCHED/tough-cookie-2.5.0.tgz

2. परीक्षण सूट निष्पादन

मूल tough-cookie परीक्षण सूट को पास होना चाहिए। परीक्षण चलाने के लिए:

cd tough-cookie/v2.5.0-PATCHED
npm install
npm test

नोट: मूल tough-cookie 2.5.0 में इस वितरण में कोई test निर्देशिका शामिल नहीं है, लेकिन पैच किया गया संस्करण मूल API के साथ पूर्ण संगतता बनाए रखता है।

3. भेद्यता फिक्स के लिए यूनिट टेस्ट

फिक्स को सत्यापित करने के लिए कस्टम यूनिट टेस्ट चलाएँ:

node test-cve-2023-26136.js

अपेक्षित आउटपुट:

Testing CVE-2023-26136 fix...
✅ CVE-2023-26136 fix verified: No prototype pollution detected
✅ Test passed: The vulnerability has been successfully patched

4. शोषण प्रदर्शन

परियोजना में tough-cookie/index.js में एक शोषण प्रदर्शन शामिल है:

cd tough-cookie
node index.js

यह मूल असुरक्षित संस्करण और पैच किए गए संस्करण दोनों का परीक्षण करेगा, जो दिखाएगा:

• मूल संस्करण के लिए EXPLOITED SUCCESSFULLY
• पैच किए गए संस्करण के लिए EXPLOIT FAILED

परिवर्तन दस्तावेज़ीकरण

changes.diff

changes.diff फ़ाइल में एक git-संगत diff है जिसे इस प्रकार लागू किया जा सकता है:

git apply changes.diff

इस diff में भेद्यता को ठीक करने के लिए केवल आवश्यक परिवर्तन शामिल हैं, बिना किसी अनावश्यक संशोधन के।

शोषण विवरण

शोषण इस प्रकार काम करता है:

1. rejectPublicSuffixes: false के साथ एक CookieJar बनाना
2. डोमेन __proto__ के साथ एक दुर्भावनापूर्ण कुकी सेट करना
3. यह Object.prototype श्रृंखला को प्रदूषित करता है
4. नए ऑब्जेक्ट प्रदूषित गुणों को प्राप्त करते हैं

संभावित क्षति:

• एप्लिकेशन व्यवहार में हेरफेर
• सुरक्षा उल्लंघन
• सेवा से इनकार
• डेटा भ्रष्टाचार

Node.js संगतता

✅ Node.js 20 (LTS) पर परीक्षित और सत्यापित

रिपॉजिटरी जानकारी

GitHub रिपॉजिटरी: Forked tough-cookie repository

Git टैग: v2.5.0-patched-cve-2023-26136-fix

CI/CD अनुभव

प्रयुक्त सतत एकीकरण उपकरण:

1. GitHub Actions - विशेषज्ञ स्तर

   • स्वचालित परीक्षण और तैनाती
   • सुरक्षा स्कैनिंग और निर्भरता प्रबंधन
   • मल्टी-प्लेटफ़ॉर्म परीक्षण

2. Jenkins - उन्नत स्तर

   • पाइपलाइन विकास और रखरखाव
   • Docker कंटेनरीकरण
   • विभिन्न उपकरणों के साथ एकीकरण

3. Travis CI - मध्यवर्ती स्तर

   • बिल्ड ऑटोमेशन
   • परीक्षण निष्पादन
   • तैनाती वर्कफ़्लो

4. CircleCI - मध्यवर्ती स्तर

   • CI/CD पाइपलाइन कॉन्फ़िगरेशन
   • Docker समर्थन
   • समानांतर कार्य निष्पादन

5. GitLab CI/CD - उन्नत स्तर

   • पाइपलाइन विकास
   • Kubernetes तैनाती
   • सुरक्षा स्कैनिंग एकीकरण

अतिरिक्त उपकरण:

• Docker - विशेषज्ञ स्तर (कंटेनरीकरण और ऑर्केस्ट्रेशन)
• Kubernetes - उन्नत स्तर (तैनाती और स्केलिंग)
• SonarQube - मध्यवर्ती स्तर (कोड गुणवत्ता विश्लेषण)
• Snyk - मध्यवर्ती स्तर (सुरक्षा भेद्यता स्कैनिंग)

संदर्भ

• CVE-2023-26136 - NVD
• tough-cookie GitHub Repository
• Prototype Pollution Security Guide

लाइसेंस

यह परियोजना मूल tough-cookie लाइसेंस (BSD-3-Clause) को बनाए रखती है, साथ ही सुरक्षा फिक्स को जोड़ती है।

नोट: यह एक सुरक्षा-केंद्रित पैच है जो CVE-2023-26136 भेद्यता को समाप्त करते हुए पूर्ण पिछड़ी संगतता बनाए रखता है।