ES
RU
EN
ZH
FR
DE
PT
AR
HI
Vulnerabilidad crítica en la popular biblioteca Swift: miles de aplicaciones iOS y macOS en riesgo
Expertos en ciberseguridad de la empresa E.V.A Information Security han descubierto una vulnerabilidad crítica en el gestor de dependencias CocoaPods, una de las bibliotecas más populares para los lenguajes Swift y Objective-C, utilizados en el desarrollo para iOS, macOS, tvOS y watchOS. El problema ha recibido el identificador CVE-2024-38367 y una puntuación de 9.1 en la escala CVSS v3, lo que lo clasifica como crítico.
Naturaleza del problema
La vulnerabilidad afecta el mecanismo de autenticación y verificación de paquetes en el registro de CocoaPods. Un atacante, aprovechando esta brecha, puede:
- Cargar código malicioso en el repositorio oficial disfrazado de una actualización legítima de una biblioteca popular (por ejemplo, Alamofire, Firebase, Kingfisher).
- Ejecutar código arbitrario en el dispositivo del usuario al compilar o ejecutar una aplicación que utilice la dependencia comprometida.
- Obtener acceso a datos sensibles: claves de cifrado, tokens de autorización, información del usuario.
Lo que hace que este ataque sea particularmente peligroso es que puede realizarse sin el conocimiento del desarrollador: basta con actualizar el Podfile o ejecutar pod install una vez.
Versiones afectadas
Según el boletín de seguridad oficial, la vulnerabilidad está presente en todas las versiones de CocoaPods hasta la 1.15.2 inclusive. La corrección se ha publicado en la versión 1.16.0.
¿Cómo protegerse?
Se recomienda a los desarrolladores y administradores de proyectos que tomen las siguientes medidas de inmediato:
- Actualizar CocoaPods a la versión 1.16.0 o superior:
sudo gem update cocoapods. - Verificar la integridad de los archivos Pod utilizados: compare las sumas de verificación con las oficiales.
- Recompilar y volver a publicar las aplicaciones en App Store y Mac App Store con la nueva versión del gestor.
- Auditoría de código: revise los proyectos en busca de dependencias sospechosas o no documentadas.
Reacción de la comunidad
El equipo de CocoaPods lanzó rápidamente un parche y publicó un informe detallado sobre la vulnerabilidad. Se recomienda encarecidamente a los desarrolladores que no retrasen la actualización; según los analistas, hasta el 70% de las aplicaciones comerciales de iOS utilizan CocoaPods, lo que hace que el ataque sea masivo.
Recordamos que esta noticia es de carácter informativo. Para obtener actualizaciones, siga el repositorio oficial de CocoaPods en GitHub y los boletines CVE.
