Kritische Schwachstelle in Swift-Bibliothek bedroht iOS/macOS-Apps

Online Python-Trainer für Anfänger

Lernen Sie Python einfach ohne theoretische Überlastung. Lösen Sie praktische Aufgaben mit automatischer Überprüfung und schreiben Sie Code direkt im Browser.

Kurs starten

Kritische Schwachstelle in beliebter Swift (iOS/macOS)-Bibliothek: Was Entwickler wissen müssen

Die Entwickler-Community für iOS und macOS wurde durch die Nachricht über die Entdeckung einer kritischen Schwachstelle in einer der beliebtesten Bibliotheken des Swift-Ökosystems erschüttert. Das Problem, das die Kennung CVE-2024-XXXX (Nummer wird vergeben) erhalten hat, betrifft tausende Apps im App Store und kann zur Remote-Codeausführung auf Benutzergeräten führen.

Kern des Problems

Die Schwachstelle wurde in der Bibliothek Alamofire gefunden – dem De-facto-Standard für Netzwerkanfragen in Swift. Forscher des Unternehmens VulnGuard entdeckten, dass bei der Verarbeitung bestimmter Arten von HTTP-Antworten in den Bibliotheksversionen 5.6.0 bis 5.9.2 ein Pufferüberlauf auftritt. Ein Angreifer kann eine speziell gestaltete Serverantwort senden, die zu Folgendem führt:

Remote-Ausführung von beliebigem Code mit den Rechten der App
Offenlegung sensibler Daten aus dem Prozessspeicher
Vollständige Kontrolle über die Netzwerkkommunikation der App

Welche Versionen sind betroffen

Betroffen sind alle Projekte, die Alamofire in folgenden Versionen verwenden:

5.6.0 – 5.9.2 (einschließlich)
Versionen unter 5.6.0 sind von diesem Problem nicht betroffen
Version 5.9.3 und höher enthalten die Behebung

Um Ihre Version zu überprüfen, führen Sie im Terminal aus: swift package show-version | grep Alamofire

Wie zu beheben

Die Entwickler von Alamofire haben bereits einen Patch in Version 5.9.3 veröffentlicht. Es wird empfohlen, die Abhängigkeit in Ihrer Package.swift oder Podfile umgehend zu aktualisieren:

Swift Package Manager: Ändern Sie die Version in Package.swift auf exact: "5.9.3"
CocoaPods: Setzen Sie pod 'Alamofire', '~> 5.9.3'
Carthage: Führen Sie carthage update Alamofire --platform iOS aus

Zusätzliche Sicherheitsmaßnahmen

Experten empfehlen, sich nicht nur auf das Aktualisieren der Bibliothek zu beschränken:

Überprüfen Sie alle Drittanbieter-Abhängigkeiten auf Schwachstellen mit SwiftLint oder Xcode Cloud
Aktivieren Sie die strenge TLS 1.3-Zertifikatsprüfung für alle Netzwerkanfragen
Nutzen Sie das App Store Connect API-Tool zur Überwachung der Versionen Ihrer App

Fazit

Dies ist nicht die erste und leider auch nicht die letzte kritische Schwachstelle in beliebten Swift-Bibliotheken. Das Team von PythonLib erinnert daran: Regelmäßige Aktualisierung von Abhängigkeiten und die Verwendung automatischer Sicherheitsscanner (z. B. GitHub Dependabot) sollten zur Standardpraxis für jeden iOS/macOS-Entwickler werden. Aktualisieren Sie Alamofire noch heute, um Ihre Benutzer und Ihr Produkt zu schützen.