Decompression and Archive Extraction Vulnerabilities: A Taxonomy of 21 Attack Mechanisms Across 1,067 Public Cases (2001–2026)
यह शोध पत्र 21 हमले तंत्रों का एक एकीकृत वर्गीकरण और 1,067 सार्वजनिक मामलों (2001-2026) की एक लेबल वाली सूची प्रस्तुत करता है ताकि डीकंप्रेशन और आर्काइव-एक्सट्रैक्शन कमजोरियों को व्यापक रूप से वर्गीकृत किया जा सके, जिससे यह प्रकट होता है कि पाथ ट्रैवर्सल (path traversal) इस परिदृश्य में हावी है, जबकि यह शमन दस्तावेज़ीकरण (mitigation documentation) में महत्वपूर्ण अंतरालों को उजागर करता है और भविष्य के अनुसंधान के लिए नए संसाधन प्रदान करता है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
हर दिन, सॉफ़्टवेयर एक शांत, आवश्यक कार्य करता है: डिजिटल पैकेज खोलना। चाहे उपयोगकर्ता कोई फ़ाइल डाउनलोड करे, कोई एप्लिकेशन इंस्टॉल करे, या ईमेल अटैचमेंट प्राप्त करे, कंप्यूटर को संकुचित डेटा (compressed data) को उपयोग योग्य बनाने के लिए उसे अनपैक करना होता है। यह प्रक्रिया, जिसे डीकंप्रेशन (decompression) कहा जाता है, एक डिजिटल संग्रह की सामग्री को खोलने वाली कुंजी है। हालाँकि, इन पैकेजों को खोलने वाला तंत्र कभी-कभी खतरनाक तरीकों से विफल हो सकता है। जब कोई हमलावर एक विशेष रूप से तैयार की गई फ़ाइल भेजता है, तो सॉफ़्टवेयर को एक बहुत छोटे इनपुट से भारी मात्रा में डेटा बनाने के लिए बहकाया जा सकता है, जिससे सिस्टम क्रैश हो जाता है। इसे गलत फोल्डरों में फ़ाइलें लिखने के लिए मजबूर किया जा सकता है, जिससे महत्वपूर्ण सिस्टम डेटा ओवरराइट (overwrite) हो जाता है। या, सॉफ़्टवेयर बस फ़ाइल की संरचना को समझने में गलती कर सकता है, जिससे एक विफलता उत्पन्न होती है। ये विफलताएं केवल सामान्य गड़बड़ी नहीं हैं; ये सुरक्षा खामियों का एक निरंतर वर्ग हैं जो व्यक्तिगत कंप्यूटरों से लेकर इंटरनेट चलाने वाले सर्वरों तक सब कुछ खतरे में डालते हैं।
यूजेन स्पिवक नामक एक शोधकर्ता ने इन विफलताओं के सार्वजनिक रिकॉर्ड को समझने के लिए वर्षों तक इनका अध्ययन किया है कि वे वास्तव में कैसे होती हैं। एक हजार से अधिक दर्ज मामलों के सुरक्षा उल्लंघनों (vulnerabilities) का विश्लेषण करके, स्पिवक ने इस समस्या का एक नया मानचित्र तैयार किया। हर त्रुटि को एक अद्वितीय घटना मानने के बजाय, यह अध्ययन उन्हें बीस-एक विशिष्ट हमले के तरीकों में समूहित करता है। ये तरीके चार मुख्य श्रेणियों में आते हैं: ऐसी स्थितियाँ जहाँ आउटपुट इनपुट की तुलना में बहुत बड़ा हो जाता है, वे त्रुटियाँ जहाँ सॉफ़्टवेयर फ़ाइल की संरचना को गलत पढ़ता है, वे विफलताएँ जहाँ सिस्टम के विभिन्न भाग एक ही फ़ाइल की अलग तरह से व्याख्या करते हैं, और वे गलतियाँ जहाँ सॉफ़्टवेयर फ़ाइलों को गलत स्थान पर सहेजता है। इसका लक्ष्य बग रिपोर्टों के बिखरे हुए संग्रह से आगे बढ़कर यह समझना था कि ये हमले कैसे काम करते हैं, और एक स्पष्ट, एकीकृत चित्र बनाना था।
अध्ययन ने इन कमजोरियों के 1,067 सार्वजनिक मामलों का विश्लेषण किया, जिन्हें 2001 और सितंबर 2026 के बीच आधिकारिक डेटाबेस से एकत्र किया गया था। सबसे चौंकाने वाला निष्कर्ष यह है कि सबसे आम विफलता कोई जटिल गणितीय चाल या गहरी मेमोरी त्रुटि नहीं है, बल्कि फ़ाइलों को सहेजने के स्थान की एक साधारण गलती है। लगभग 70 प्रतिशत मामलों में, सॉफ़տवेयर ने फ़ाइलों को गलत फोल्डर में निकाला, जिससे हमलावर महत्वपूर्ण सिस्टम फ़ाइलों को ओवरराइट करने या दुर्भावनापूर्ण कोड डालने में सक्षम हो गया। इस विशिष्ट प्रकार की त्रुटि, जिसे अक्सर "पाथ ट्रैवर्सल" (path traversal) कहा जाता है, तब होती है जब सॉफ़्टवेयर डेटा लिखने से पहले फ़ाइल के गंतव्य की ठीक से जाँच नहीं करता है। शोध से पता चलता है कि यह समस्या अक्सर उन कोर लाइब्रेरीज़ में नहीं पाई जाती है जो अनपैकिंग करती हैं, बल्कि उस एप्लिकेशन कोड में पाई जाती है जो उन लाइब्रेरीज़ का उपयोग करता है। दूसरे शब्दों में, उपकरण स्वयं अक्सर सुरक्षित होते हैं, लेकिन वे प्रोग्राम जो उन उपकरणों को कॉल करते हैं, अक्सर उचित सीमाओं को निर्धारित करना भूल जाते हैं।
मामलों का एक अन्य महत्वपूर्ण हिस्सा "डीकंप्रेशन बॉम्ब्स" (decompression bombs) से संबंधित है। ये ऐसी फ़ाइलें हैं जिन्हें इतना विशाल विस्तार करने के लिए डिज़ाइन किया गया है कि वे कंप्यूटर की मेमोरी या स्टोरेज को अभिभूत (overwhelm) कर दें। अध्ययन में पाया गया कि इनमें से कई मामलों में, सॉफ़्टवेयर में एक सुरक्षा जांच मौजूद थी, लेकिन वह जांच अधूरी थी। या तो इसने फ़ाइल के भीतर घोषित किसी संख्या पर भरोसा किया, या प्रक्रिया के एक निश्चित बिंदु के बाद जांच करना बंद कर दिया। इसका अर्थ है कि बचाव मौजूद था लेकिन वह डेटा द्वारा लिए जाने वाले हर संभावित मार्ग को कवर करने में विफल रहा। शोध ने हमलों के आने के तरीके में बदलाव को भी नोट किया। जबकि कई अभी भी फ़ाइलों या पैकेजों के रूप में आते हैं, अब बड़ी संख्या में इन्हें नेटवर्क के माध्यम से संदेशों के रूप में भेजा जा रहा है, जो सीधे सर्वरों और ऑनलाइन सेवाओं को लक्षित करते हैं।
इन मुद्दों की आवृत्ति के बावजूद, इनका वर्णन करने वाले सार्वजनिक रिकॉर्ड अक्सर अस्पष्ट होते हैं। अध्ययन में पाया गया कि केवल लगभग 8 प्रतिशत मामलों में आधिकारिक रिपोर्ट ने स्पष्ट रूप से बताया कि सुधार (fix) ने वास्तव में क्या किया। अधिकांश रिकॉर्ड केवल यह बताते थे कि सॉफ़्टवेयर का एक नया संस्करण उपलब्ध है, बिना यह समझाए कि किस विशिष्ट परिवर्तन ने इसे सुरक्षित बनाया। विवरण की यह कमी सुरक्षा टीमों के लिए मूल कारण को समझना और अपने सिस्टम की रक्षा करना कठिन बना देती है। इसके अलावा, अध्ययन ने उन त्रुटियों की एक पूरी श्रेणी को भी रेखांकित किया जहाँ दो अलग-अलग सॉफ़्टवेयर प्रोग्राम एक ही फ़ाइल को परस्पर विरोधी तरीकों से पढ़ते हैं। ये "सिमेंटिक गैप्स" (semantic gaps) सार्वजनिक रिपोर्टों में पकड़ में आना कठिन होते हैं, लेकिन क्षेत्र में एक वास्तविक खतरा माने जाते हैं।
डेटा ने 2026 में इन रिपोर्टों की संख्या में तीव्र वृद्धि भी दिखाई। हालाँकि, शोधकर्ता सावधानीपूर्वक यह नोट करते हैं कि यह वृद्धि हमलों की संख्या में अचानक विस्फोट के बजाय, कमजोरियों को खोजने और रिपोर्ट करने के तरीके में आए बदलाव को दर्शाती है। यह वृद्धि बेहतर डिटेक्शन टूल्स, रिपोर्टों के लेबलिंग में बदलाव, या शब्दावली में बदलाव के कारण हो सकती है। जो निश्चित है वह यह है कि ऑडिट किया गया रिकॉर्ड एक स्पष्ट रुझान दिखाता है: सबसे आम और खतरनाक विफलताएं वे हैं जहाँ सॉफ़्टवेयर फ़ाइलों को गलत जगह लिखता है, और ये विफलताएं अक्सर निष्कर्षण (extraction) उपकरणों को लपेटने वाले एप्लिकेशन कोड की गलती होती हैं।
अध्ययन सॉफ़्टवेयर बनाने और बनाए रखने वाले लोगों के लिए व्यावहारिक सिफारिशों के साथ समाप्त होता है। यह सुझाव देता है कि लाइब्रेरी डेवलपर्स को स्पष्ट रूप से दस्तावेजीकरण करना चाहिए कि उनके उपकरण किन चीजों से सुरक्षा प्रदान करते हैं और किनसे नहीं, और एप्लिकेशन डेवलपर्स को यह सुनिश्चित करने की जिम्मेदारी लेनी चाहिए कि फ़ाइलें कहाँ सहेजी जा रही हैं। यह बेहतर रिपोर्टिंग मानकों का भी आह्वान करता है, जिसमें सुरक्षा विज्ञापनों (security advisories) में यह स्पष्ट रूप से बताया जाए कि सुधार क्या करता है, न कि केवल एक नए संस्करण की ओर इशारा किया जाए। इन परिवर्तनों को अपनाकर, उद्योग व्यक्तिगत बग्स को ठीक करने की प्रतिक्रियात्मक स्थिति से हटकर, अंतर्निहित तंत्र को समझने और रोकने के सक्रिय दृष्टिकोण की ओर बढ़ सकता है। यह कार्य इस दावे के साथ नहीं है कि इसने समस्या को हल कर लिया है या प्रत्येक संभावित बचाव का परीक्षण किया है, बल्कि यह इस क्षेत्र के परिदृश्य का पहला व्यापक मानचित्र प्रदान करता है, जो दिखाता है कि जमीन कहाँ से सबसे अधिक धंसने की संभावना है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।