DE
RU
EN
ES
ZH
FR
PT
AR
HI
Kritische Schwachstelle in der beliebten Swift-Bibliothek: Tausende iOS- und macOS-Apps bedroht
Sicherheitsexperten der Firma E.V.A Information Security haben eine kritische Schwachstelle im Abhängigkeitsmanager CocoaPods entdeckt – einer der beliebtesten Bibliotheken für die Sprachen Swift und Objective-C, die bei der Entwicklung für iOS, macOS, tvOS und watchOS verwendet werden. Das Problem erhielt die Kennung CVE-2024-38367 und eine Bewertung von 9,1 Punkten auf der CVSS v3-Skala, was es als kritisch einstuft.
Wesen des Problems
Die Schwachstelle betrifft den Authentifizierungs- und Überprüfungsmechanismus von Paketen im CocoaPods-Register. Ein Angreifer, der diese Lücke ausnutzt, kann:
- Schadcode hochladen in das offizielle Repository unter dem Deckmantel eines legitimen Updates einer beliebten Bibliothek (z. B. Alamofire, Firebase, Kingfisher).
- Beliebigen Code ausführen auf dem Gerät des Benutzers beim Bauen oder Starten einer App, die eine kompromittierte Abhängigkeit verwendet.
- Zugriff erhalten auf sensible Daten: Verschlüsselungsschlüssel, Autorisierungstoken, Benutzerinformationen.
Besonders gefährlich ist, dass der Angriff ohne Wissen des Entwicklers durchgeführt werden kann – es reicht aus, einmal die Podfile zu aktualisieren oder pod install auszuführen.
Betroffene Versionen
Laut offiziellem Sicherheitsbulletin ist die Schwachstelle in allen Versionen von CocoaPods bis einschließlich 1.15.2 vorhanden. Der Fix wurde in Version 1.16.0 veröffentlicht.
Wie schützt man sich?
Entwicklern und Projektadministratoren wird empfohlen, sofort folgende Schritte zu unternehmen:
- CocoaPods aktualisieren auf Version 1.16.0 oder höher:
sudo gem update cocoapods. - Integrität prüfen der verwendeten Pod-Dateien – Prüfsummen mit den offiziellen vergleichen.
- Apps neu bauen und erneut einreichen im App Store und Mac App Store mit der neuen Version des Managers.
- Code-Audit – Projekte auf verdächtige oder undokumentierte Abhängigkeiten überprüfen.
Reaktion der Community
Das CocoaPods-Team hat schnell einen Patch veröffentlicht und einen detaillierten Bericht über die Schwachstelle veröffentlicht. Entwicklern wird dringend empfohlen, das Update nicht aufzuschieben – laut Analysten verwenden bis zu 70% der kommerziellen iOS-Apps CocoaPods, was den Angriff massenhaft macht.
Wir erinnern daran, dass diese Nachricht informativen Charakter hat. Für aktuelle Updates folgen Sie dem offiziellen CocoaPods-Repository auf GitHub und den CVE-Bulletins.
