Figyelmeztetés az iOS operációs rendszert támadó veszélyes sebezhetőségekre

Az izraeli székhelyű EVA Information Security kiberbiztonsági és tesztelési cég hibát fedezett fel a Cocoapodsban, egy széles körben használt függőségkezelőben, amely Swift és Objective-C programozási nyelveken kódolt szoftverprojektekhez készült.

A függőségkezelő (Dependency Manager) egy fontos eszköz a szoftverfejlesztésben, amely lehetővé teszi a szoftvercsomagok validálását és kriptográfiai aláírását. Ezért egy ilyen eszközzel kapcsolatos probléma negatív hatással lehet a szoftver vagy a web számos részére.

Több ezer iOS-alkalmazás lehet veszélyben a nyílt forráskódú sebezhetőségek miatt.

Az EVA Information Security szerint a probléma már 2014 óta fennállhatott, és egy elrontott Cocoapods szervermigráció eredménye, amely több ezer szoftverkönyvtár-csomagot hagyott leválasztva az eredeti forrásfájljairól, és nem lehetett visszakövetni őket a forrásukra. Ez lehetővé tette a támadók számára, hogy az eredeti forráskódot saját rosszindulatú kódjukkal cseréljék le.

A cég képviselője kijelentette: „A rendszerbiztonsági hiányosságok miatt ezeket a csomagokat rosszindulatúak eltéríthetik, majd felhasználhatják kártevő programok befecskendezésére a fejlesztők szoftverfejlesztő eszközeibe. Mivel sokáig nem észlelték őket, ez azt jelenti, hogy az évek során több ezer alkalmazás és több millió eszköz vált fertőzötté.”

Mivel számos alkalmazás fér hozzá érzékeny felhasználói adatokhoz, például hitelkártyákhoz, orvosi feljegyzésekhez és személyes dokumentumokhoz, a hackerek kihasználhatják a sebezhetőségeket, zsarolóvírusokat vagy más típusú rosszindulatú programokat telepíthetnek ezek begyűjtésére.

Az EVA Information Security úgy véli, hogy az Apple van a „káosz középpontjában”, amikor a legtöbb iOS és macOS alkalmazás Swift és Objective-C nyelveken van kódolva, beleértve olyan népszerű neveket is, mint a TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook, Messenger.

Ennek eredményeként ezeken a platformokon több ezer alkalmazás lehet érintett. A mobilalkalmazás-ökoszisztéma elleni támadás a legtöbb Apple-eszközt megfertőzheti, több ezer szervezetet pénzügyileg és hírnév szempontjából sebezhetővé téve.

A Cocoapods állítólag kijavította a hibákat, de az a tény, hogy közel egy évtizedig nem fedezték fel őket, aggodalomra ad okot. Az EVA Information Security azt javasolja, hogy a fejlesztők tekintsék át termékük forráskódját, hogy megállapítsák, szoftverük sebezhető-e.

Az Apple egyelőre nem kommentálta a hírt.

Forrás: https://kinhtedothi.vn/canh-bao-lo-hong-nguy-hiem-tan-cong-he-dieu-hanh-ios.html