Тысячи приложений iOS могут оказаться под угрозой из-за уязвимости с открытым исходным кодом

Исследовательская группа EVA Information Security, израильской компании, занимающейся кибербезопасностью и тестированием, обнаружила уязвимость в программном обеспечении с открытым исходным кодом Cocoapods, которая может подвергнуть риску атаки такие приложения, как Facebook, TikTok, Netflix на iOS и macOS.

Cocoapods — широко используемый менеджер зависимостей для программных проектов, написанных на языках программирования Swift и Objective-C.

Dependency Manager — важный инструмент в процессе разработки программного обеспечения, позволяющий выполнять аутентификацию и криптографическое подписание пакетов программного обеспечения.

Поэтому проблемы с Cocoapods негативно повлияют на многие части программного обеспечения или сети.

По данным EVA Information Security, уязвимость является результатом неравномерного процесса миграции сервера Cocoapods и могла существовать с 2014 года, в результате чего тысячи пакетов библиотек программного обеспечения больше не ссылаются на исходный файл, а их происхождение невозможно отследить.

Эта лазейка позволяет злоумышленникам заменять исходный код собственным вредоносным кодом в инструментах разработки ПО разработчика. Поскольку он оставался незамеченным так долго, вполне возможно, что за эти годы были раскрыты тысячи приложений и миллионы устройств.

Хакеры могут воспользоваться уязвимостями для установки программ-вымогателей или других типов вредоносного кода в приложения, имеющие доступ к конфиденциальной информации пользователя, и собирать ее.

Также по данным исследовательской группы, большинство приложений iOS и macOS написаны на языках Swift и Objective-C, включая такие популярные названия, как TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook, Messenger. Таким образом, уязвимость в программном обеспечении с открытым исходным кодом Cocoapods может затронуть тысячи приложений, а «атака на экосистему мобильных приложений может заразить большинство устройств Apple, в результате чего тысячи организаций окажутся в уязвимом положении».

По данным исследовательской группы, Cocoapods уже исправил вышеуказанные ошибки. Но тот факт, что они оставались незамеченными в течение почти десятилетия, вызывает беспокойство. Группа рекомендует разработчикам пересмотреть исходный код своего продукта, чтобы определить, содержит ли программное обеспечение ошибки.

Apple пока не прокомментировала это серьезное открытие.

Джессика Таннер