Amaran tentang kelemahan berbahaya yang menyerang sistem pengendalian iOS

Syarikat keselamatan siber dan ujian EVA Information Security yang berpangkalan di Israel telah menemui pepijat dalam Cocoapods, pengurus pergantungan yang digunakan secara meluas untuk projek perisian yang dikodkan dalam bahasa pengaturcaraan Swift dan Objective-C.

Pengurus Ketergantungan ialah alat penting dalam pembangunan perisian, membolehkan pengesahan dan menandatangani kriptografi pakej perisian. Oleh itu, masalah dengan alat sedemikian boleh memberi kesan negatif pada banyak bahagian perisian atau web.

Beribu-ribu apl iOS mungkin berisiko disebabkan kerentanan sumber terbuka.

Menurut Keselamatan Maklumat EVA, isu ini mungkin wujud sejak 2014, dan merupakan hasil daripada migrasi pelayan Cocoapods yang gagal yang menyebabkan beribu-ribu pakej perpustakaan perisian dinyahpautkan ke fail sumber asalnya dan tidak dapat dikesan kembali ke sumbernya. Ini membenarkan penyerang menggantikan kod sumber asal dengan kod hasad mereka sendiri.

Wakil syarikat itu menyatakan: "Disebabkan oleh kelemahan keselamatan sistem, pakej ini boleh dirampas oleh orang jahat, kemudian digunakan untuk menyuntik perisian hasad ke dalam alat pembangunan perisian untuk pembangun. Oleh kerana ia tidak dikesan untuk masa yang lama, ini bermakna beribu-ribu aplikasi dan berjuta-juta peranti telah terdedah selama bertahun-tahun."

Dengan banyak apl yang mempunyai akses kepada maklumat pengguna sensitif seperti kad kredit, rekod perubatan , dokumen peribadi, penggodam boleh mengeksploitasi kelemahan, memasang perisian tebusan atau jenis perisian hasad lain untuk mengumpulnya.

Keselamatan Maklumat EVA percaya bahawa Apple berada "di tengah-tengah kekacauan" apabila kebanyakan aplikasi iOS dan macOS dikodkan dalam bahasa Swift dan Objective-C, termasuk nama popular seperti TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook, Messenger.

Akibatnya, beribu-ribu apl pada platform ini boleh terjejas. Serangan ke atas ekosistem aplikasi mudah alih boleh menjangkiti kebanyakan peranti Apple, menyebabkan beribu-ribu organisasi terdedah dari segi kewangan dan reputasi.

Pepijat itu dilaporkan telah ditampal oleh Cocoapods, tetapi hakikat bahawa ia tidak ditemui selama hampir sedekad adalah membimbangkan. Keselamatan Maklumat EVA mengesyorkan agar pembangun menyemak kod sumber produk mereka untuk menentukan sama ada perisian mereka terdedah.

Apple masih belum mengulas mengenai berita itu.

Sumber: https://kinhtedothi.vn/canh-bao-lo-hong-nguy-hiem-tan-cong-he-dieu-hanh-ios.html