FR
RU
EN
ES
ZH
DE
PT
AR
HI
Vulnérabilité critique dans une bibliothèque Swift populaire : des milliers d'applications iOS et macOS menacées
Des experts en cybersécurité de la société E.V.A Information Security ont découvert une vulnérabilité critique dans le gestionnaire de dépendances CocoaPods — l'une des bibliothèques les plus populaires pour les langages Swift et Objective-C, utilisés dans le développement sous iOS, macOS, tvOS et watchOS. Le problème a reçu l'identifiant CVE-2024-38367 et une note de 9,1 points sur l'échelle CVSS v3, ce qui le classe comme critique.
Nature du problème
La vulnérabilité affecte le mécanisme d'authentification et de vérification de l'authenticité des paquets dans le registre CocoaPods. Un attaquant, en exploitant cette brèche, peut :
- Télécharger un code malveillant dans le dépôt officiel sous l'apparence d'une mise à jour légitime d'une bibliothèque populaire (par exemple, Alamofire, Firebase, Kingfisher).
- Exécuter du code arbitraire sur l'appareil de l'utilisateur lors de la compilation ou de l'exécution d'une application utilisant la dépendance compromise.
- Accéder à des données sensibles : clés de chiffrement, jetons d'autorisation, informations utilisateur.
Le danger particulier réside dans le fait que l'attaque peut être menée à l'insu du développeur — il suffit de mettre à jour le Podfile une fois ou d'exécuter pod install.
Versions concernées
Selon le bulletin de sécurité officiel, la vulnérabilité est présente dans toutes les versions de CocoaPods jusqu'à la 1.15.2 incluse. Le correctif a été publié dans la version 1.16.0.
Comment se protéger ?
Il est recommandé aux développeurs et administrateurs de projets de prendre immédiatement les mesures suivantes :
- Mettre à jour CocoaPods vers la version 1.16.0 ou supérieure :
sudo gem update cocoapods. - Vérifier l'intégrité des fichiers Pod utilisés — comparer les sommes de contrôle avec les officielles.
- Recompiler et republier les applications dans l'App Store et le Mac App Store avec la nouvelle version du gestionnaire.
- Audit de code — vérifier les projets pour détecter d'éventuelles dépendances suspectes ou non documentées.
Réaction de la communauté
L'équipe de CocoaPods a rapidement publié un correctif et un rapport détaillé sur la vulnérabilité. Il est fortement recommandé aux développeurs de ne pas retarder la mise à jour — selon les analystes, jusqu'à 70 % des applications iOS commerciales utilisent CocoaPods, ce qui rend l'attaque massive.
Nous rappelons que cette actualité a un caractère informatif. Pour obtenir des mises à jour actuelles, suivez le dépôt officiel de CocoaPods sur GitHub et les bulletins CVE.
