ثغرة أمنية حرجة في مكتبة Swift: تهديد لنظامي iOS وmacOS

ثغرة أمنية حرجة في مكتبة Swift (iOS/macOS) الشهيرة: ما يحتاج المطورون معرفته

لطالما اشتهرت بيئة Apple بأمانها، ولكن حتى في أكثر البيئات موثوقية، يتم أحيانًا اكتشاف ثغرات أمنية حرجة. هذا الأسبوع، أبلغ باحثو الأمن السيبراني من شركة Wardle Security عن خطأ خطير في مكتبة مستخدمة على نطاق واسع للغة Swift (iOS وmacOS). حصلت المشكلة على المعرف CVE-2024-27818 وتؤثر على آلاف التطبيقات، بما في ذلك الحلول المؤسسية والمصرفية.

جوهر الثغرة

تُستخدم مكتبة SwiftSecureNetworking (اسم مستعار، تم استبدال الاسم الحقيقي لأسباب أمنية حتى إصدار التصحيح الرسمي) لتشفير اتصالات الشبكة ومعالجة الشهادات في تطبيقات iOS وmacOS. ترتبط الثغرة بفحص غير صحيح لسلسلة شهادات SSL عند استخدام بروتوكول TLS 1.3. يمكن للمهاجم تزوير شهادة وإدخال تعليمات برمجية ضارة، مما يعترض جميع البيانات المنقولة بين الجهاز والخادم.

وفقًا للتقرير، تؤثر الثغرة على إصدارات المكتبة من 2.1.0 إلى 2.6.3. لا يتطلب الاستغلال وصولاً ماديًا إلى الجهاز - يكفي أن يتصل المستخدم بشبكة Wi-Fi غير آمنة أو ينقر على رابط تصيد.

المخاطر المحتملة

• سرقة بيانات الاعتماد - يمكن اعتراض أسماء المستخدمين وكلمات المرور ورموز المصادقة.
• تسرب المعلومات المالية - التطبيقات المصرفية التي تستخدم هذه المكتبة معرضة للخطر.
• إدخال البرامج الضارة - من خلال استبدال الشهادة، يمكن تحميل تعليمات برمجية ضارة على الجهاز.
• انتهاك خصوصية المراسلات - يمكن أيضًا اختراق تطبيقات المراسلة والبريد الإلكتروني.

من في منطقة الخطر؟

تتعلق المشكلة بالتطبيقات التي تستخدم SwiftSecureNetworking لمعالجة طلبات HTTPS واتصالات WebSocket والإشعارات الفورية. الأكثر عرضة للخطر:

• التطبيقات المالية (الخدمات المصرفية عبر الإنترنت، محافظ العملات الرقمية)
• الخدمات الطبية (الطب عن بعد، تخزين السجلات الطبية)
• التطبيقات المؤسسية للعمل عن بعد
• تطبيقات أجهزة إنترنت الأشياء التي يتم التحكم فيها عبر iPhone/Mac

توصيات للمطورين

يوصى بشدة لمطوري تطبيقات Swift بما يلي:

• تحديث المكتبة إلى الإصدار 2.7.0 أو أعلى (تم إصدار التصحيح بالفعل).
• التحقق من التبعيات عبر Swift Package Manager - قد يكون الإصدار الضعيف قد تم تضمينه بشكل غير مباشر.
• إجراء تدقيق للكود بحثًا عن استخدام طرق التشفير القديمة.
• تعزيز المراقبة لاتصالات الشبكة من جانب الخادم.

رد فعل المجتمع

في منتديات Apple Developer وGitHub، بدأ بالفعل نقاش نشط. يلاحظ العديد من المطورين أن الثغرة ربما كانت موجودة لأكثر من عام قبل اكتشافها. ينتقد بعض الخبراء Apple لعدم كفاية الفحص التلقائي للمكتبات الخارجية في App Store. "هذا تذكير بأنه حتى في بيئة Apple، يتطلب الأمان اهتمامًا مستمرًا".