A06: ভালনারেবল ও আউটডেটেড কম্পোনেন্ট

১ · সমস্যাটি কতটা বড়

একটি আধুনিক ওয়েব বা মোবাইল অ্যাপ্লিকেশনের কোডবেস দেখলে অবাক হবেন — প্রায়ই এর সংখ্যাগরিষ্ঠ কোড লাইনই ডেভেলপার নিজে লেখেননি, বরং থার্ড-পার্টি ডিপেন্ডেন্সিThird-Party Dependencyঅন্য কেউ লিখেছে এমন একটি লাইব্রেরি/প্যাকেজ যা আপনার প্রজেক্টে ইমপোর্ট/ইনস্টল করে ব্যবহার করা হয় (যেমন pip বা npm-এর মাধ্যমে)। থেকে এসেছে — লগিং লাইব্রেরি, HTTP ক্লায়েন্ট, ফ্রন্টএন্ড ফ্রেমওয়ার্ক, ইত্যাদি। প্রতিটি ডিপেন্ডেন্সি নিজেই একটি সফটওয়্যার — এবং যেকোনো সফটওয়্যারের মতোই এতে দুর্বলতা থাকতে পারে, যার CVE আইডি পাবলিকলি ঘোষিত হতে পারে (ties to L14)। সমস্যা হলো, অনেক দল জানেই না তারা ঠিক কোন কোন ডিপেন্ডেন্সি এবং কোন ভার্সন ব্যবহার করছে — ফলে যখন একটি নতুন CVE ঘোষিত হয়, তারা জানতেই পারে না তারা প্রভাবিত কি না।

২ · SBOM — আপনি ঠিক কী ব্যবহার করছেন তা জানা

SBOMSoftware Bill of Materialsএকটি অ্যাপ্লিকেশনে ব্যবহৃত প্রতিটি উপাদান (লাইব্রেরি, ফ্রেমওয়ার্ক, তাদের সঠিক ভার্সন) -এর একটি সম্পূর্ণ, মেশিন-পাঠযোগ্য তালিকা। (Software Bill of Materials) হলো একটি অ্যাপ্লিকেশনে ঠিক কী কী উপাদান, কোন ভার্সনে ব্যবহৃত হচ্ছে তার একটি সম্পূর্ণ তালিকা — অনেকটা একটি খাবারের প্যাকেটের "উপাদান তালিকা"-র মতো। SBOM ছাড়া, একটি নতুন CVE ঘোষিত হলে একটি প্রতিষ্ঠানের জানার কোনো দ্রুত উপায় নেই তারা প্রভাবিত কি না — তাদের ম্যানুয়ালি প্রতিটি প্রজেক্ট খুঁজে দেখতে হয়। SBOM থাকলে এই প্রশ্নের উত্তর সেকেন্ডের মধ্যে পাওয়া যায়।

৩ · স্বয়ংক্রিয় ডিপেন্ডেন্সি-স্ক্যানিং টুল

বাস্তব-জগতে এই কাজটি ম্যানুয়ালি করা হয় না — স্বয়ংক্রিয় টুল ব্যবহার করা হয়:

• npm audit — Node.js প্রজেক্টের ডিপেন্ডেন্সি ট্রি স্ক্যান করে জানা দুর্বলতা রিপোর্ট করে।
• pip-audit — একই কাজ Python প্যাকেজের জন্য।
• Dependabot (GitHub) — স্বয়ংক্রিয়ভাবে দুর্বল ডিপেন্ডেন্সি চিহ্নিত করে এবং আপডেটের জন্য পুল-রিকোয়েস্ট তৈরি করে।

এই টুলগুলো মূলত একটি জিনিসই করে (উচ্চ-স্তরে): ইনস্টল করা প্রতিটি ডিপেন্ডেন্সি ও তার ভার্সনকে একটি ক্রমাগত হালনাগাদ হওয়া জানা-দুর্বলতার ডেটাবেসের বিপরীতে ক্রস-রেফারেন্স করা। নিচের কোড সেলে আমরা ঠিক এই যুক্তিটিই একটি ছোট, স্যান্ডবক্সড উদাহরণে বাস্তবায়ন করব।

৪ · কোড ডেমো — একটি সরল ডিপেন্ডেন্সি অডিটর

নিচের কোড সেলটি সম্পূর্ণ স্যান্ডবক্সড — এটি দুটি ভুয়া ইন-মেমরি ডিকশনারি ব্যবহার করছে: একটি "ইনস্টল করা" ডিপেন্ডেন্সি তালিকা এবং একটি "জানা-ভালনারেবল-ভার্সন" লুকআপ। কোনো বাস্তব প্যাকেজ ম্যানেজার, ইন্টারনেট কল বা ফাইল-সিস্টেম এখানে জড়িত নয়।

# ভুয়া "ইনস্টল করা" ডিপেন্ডেন্সি তালিকা — শুধুই ইন-মেমরি ডেটা
installed_dependencies = {
    "web-framework-x": "2.3.1",
    "logging-lib-y": "1.0.4",
    "http-client-z": "4.5.0",
    "template-engine-q": "1.9.9",
}

# ভুয়া "জানা-ভালনারেবল-ভার্সন" লুকআপ — বাস্তব CVE ডেটাবেসের একটি সরলীকৃত অনুকরণ
known_vulnerable_versions = {
    "web-framework-x": {"2.3.1", "2.3.0"},   # CVE-2024-XXXX অনুকরণ
    "logging-lib-y": {"0.9.0"},               # এই ভার্সনটি ইনস্টল করা ভার্সনের সাথে মেলে না
    "template-engine-q": {"1.9.9", "1.9.8"}, # CVE-2023-YYYY অনুকরণ
}

def audit_dependencies(installed, vulnerable_lookup):
    findings = []
    for package, version in installed.items():
        vulnerable_versions = vulnerable_lookup.get(package, set())
        if version in vulnerable_versions:
            findings.append(f"[ঝুঁকিপূর্ণ] {package}=={version} — এই ভার্সনে জানা দুর্বলতা আছে")
    return findings

report = audit_dependencies(installed_dependencies, known_vulnerable_versions)

print("== ডিপেন্ডেন্সি অডিট রিপোর্ট ==")
print(f"মোট ইনস্টল করা ডিপেন্ডেন্সি: {len(installed_dependencies)}")
print()
if report:
    for line in report:
        print(line)
else:
    print("কোনো জানা-ভালনারেবল ডিপেন্ডেন্সি পাওয়া যায়নি।")

print()
print(f"সিদ্ধান্ত: {len(report)}টি প্যাকেজ আপগ্রেড করা প্রয়োজন (patch management, ties to L16)।")