iOS işletim sistemine saldıran tehlikeli güvenlik açıklarına karşı uyarı

İsrail merkezli siber güvenlik ve test şirketi EVA Information Security, Swift ve Objective-C programlama dilleriyle kodlanmış yazılım projeleri için yaygın olarak kullanılan bir bağımlılık yöneticisi olan Cocoapods'ta bir hata keşfetti.

Bağımlılık Yöneticisi, yazılım geliştirmede yazılım paketlerinin doğrulanmasını ve kriptografik olarak imzalanmasını sağlayan önemli bir araçtır. Bu nedenle, böyle bir araçta yaşanabilecek bir sorun, yazılımın veya web'in birçok bölümünü olumsuz etkileyebilir.

Açık kaynaklı güvenlik açığı nedeniyle binlerce iOS uygulaması risk altında olabilir.

EVA Information Security'ye göre, sorun 2014'ten beri var olabilir ve binlerce yazılım kütüphanesi paketinin orijinal kaynak dosyalarına bağlanmasını ve kaynağına kadar izlenebilmesini engelleyen hatalı bir Cocoapods sunucu geçişinin sonucudur. Bu durum, saldırganların orijinal kaynak kodunu kendi kötü amaçlı kodlarıyla değiştirmelerine olanak sağlamıştır.

Şirket temsilcisi şunları söyledi: "Sistem güvenlik açıkları nedeniyle, bu paketler kötü amaçlı kişiler tarafından ele geçirilebilir ve ardından geliştiricilerin yazılım geliştirme araçlarına kötü amaçlı yazılım enjekte etmek için kullanılabilir. Uzun süre tespit edilmedikleri için, yıllar içinde binlerce uygulama ve milyonlarca cihaz ifşa edilmiş oldu."

Kredi kartları, tıbbi kayıtlar, özel belgeler gibi hassas kullanıcı bilgilerine erişebilen birçok uygulama olduğundan, bilgisayar korsanları bu bilgileri toplamak için güvenlik açıklarından yararlanabilir, fidye yazılımları veya diğer kötü amaçlı yazılım türlerini yükleyebilir.

EVA Bilgi Güvenliği, TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook, Messenger gibi popüler isimlerin de aralarında bulunduğu çoğu iOS ve macOS uygulamasının Swift ve Objective-C dillerinde kodlandığı bir ortamda Apple'ın "karmaşanın merkezinde" olduğunu düşünüyor.

Sonuç olarak, bu platformlardaki binlerce uygulama etkilenebilir. Mobil uygulama ekosistemine yönelik bir saldırı, çoğu Apple cihazını etkileyerek binlerce kuruluşu finansal ve itibar açısından savunmasız bırakabilir.

Hataların Cocoapods tarafından düzeltildiği bildirilse de, neredeyse on yıldır fark edilmemeleri endişe verici. EVA Information Security, geliştiricilerin yazılımlarının güvenlik açığı olup olmadığını belirlemek için ürünlerinin kaynak kodlarını incelemelerini öneriyor.

Apple'dan henüz haberle ilgili bir açıklama yapılmadı.

Kaynak: https://kinhtedothi.vn/canh-bao-lo-hong-nguy-hiem-tan-cong-he-dieu-hanh-ios.html