ثغرة أمنية حرجة في مكتبة Swift CocoaPods: تهديد لتطبيقات iOS وmacOS

ثغرة أمنية حرجة في مكتبة Swift الشهيرة: آلاف تطبيقات iOS وmacOS تحت التهديد

اكتشف خبراء الأمن السيبراني من شركة E.V.A Information Security ثغرة أمنية حرجة في مدير التبعيات CocoaPods - وهي واحدة من أشهر المكتبات للغتي Swift وObjective-C المستخدمتين في تطوير تطبيقات iOS وmacOS وtvOS وwatchOS. حصلت المشكلة على المعرف CVE-2024-38367 وتقييم 9.1 نقطة على مقياس CVSS v3، مما يصنفها على أنها حرجة.

جوهر المشكلة

تؤثر الثغرة على آلية المصادقة والتحقق من صحة الحزم في سجل CocoaPods. يمكن للمهاجم، باستغلال هذه الثغرة، القيام بما يلي:

• تحميل كود ضار إلى المستودع الرسمي تحت غطاء تحديث شرعي لمكتبة شائعة (مثل Alamofire وFirebase وKingfisher).
• تنفيذ كود عشوائي على جهاز المستخدم أثناء بناء أو تشغيل تطبيق يستخدم تبعية مخترقة.
• الوصول إلى البيانات الحساسة: مفاتيح التشفير، رموز التفويض، معلومات المستخدم.

الخطر الخاص يكمن في أن الهجوم يمكن تنفيذه دون علم المطور - يكفي تحديث Podfile مرة واحدة أو تنفيذ pod install.

الإصدارات المتأثرة

وفقًا للنشرة الأمنية الرسمية، توجد الثغرة في جميع إصدارات CocoaPods حتى الإصدار 1.15.2 شاملاً. تم إصدار التصحيح في الإصدار 1.16.0.

كيف تحمي نفسك؟

يُنصح المطورون ومسؤولو المشاريع باتخاذ الخطوات التالية فورًا:

• تحديث CocoaPods إلى الإصدار 1.16.0 أو أعلى: sudo gem update cocoapods.
• التحقق من سلامة ملفات Pod المستخدمة - مقارنة المجاميع الاختبارية مع المجاميع الرسمية.
• إعادة بناء وإعادة نشر التطبيقات في App Store وMac App Store باستخدام الإصدار الجديد من المدير.
• تدقيق الكود - فحص المشاريع بحثًا عن تبعيات مشبوهة أو غير موثقة.

رد فعل المجتمع

أصدر فريق CocoaPods التصحيح على الفور ونشر تقريرًا مفصلاً عن الثغرة. يُنصح المطورون بشدة بعدم تأخير التحديث - وفقًا لبيانات المحللين، يستخدم ما يصل إلى 70% من تطبيقات iOS التجارية CocoaPods، مما يجعل الهجوم واسع النطاق.

نذكركم أن هذا الخبر يحمل طابعًا إعلاميًا. للحصول على التحديثات الحالية، تابعوا المستودع الرسمي لـ CocoaPods على GitHub ونشرات CVE.