Swift लाइब्रेरी CocoaPods में गंभीर कमजोरी: iOS और macOS के लिए खतरा

शुरुआती लोगों के लिए ऑनलाइन Python प्रशिक्षक

Python आसानी से सीखें बिना सिद्धांत के बोझ के। स्वचालित जांच के साथ व्यावहारिक कार्य हल करें और ब्राउज़र में सीधे कोड लिखें।

पाठ्यक्रम शुरू करें

लोकप्रिय Swift लाइब्रेरी में गंभीर कमजोरी: हजारों iOS और macOS ऐप्स खतरे में

साइबर सुरक्षा विशेषज्ञों (E.V.A Information Security) ने डिपेंडेंसी मैनेजर CocoaPods में एक गंभीर कमजोरी का पता लगाया है — यह iOS, macOS, tvOS और watchOS के लिए Swift और Objective-C भाषाओं में उपयोग की जाने वाली सबसे लोकप्रिय लाइब्रेरी में से एक है। इस समस्या को CVE-2024-38367 आईडी और CVSS v3 पैमाने पर 9.1 अंक का स्कोर दिया गया है, जो इसे गंभीर श्रेणी में रखता है।

समस्या का सार

यह कमजोरी CocoaPods रजिस्ट्री में पैकेजों के प्रमाणीकरण और प्रामाणिकता जांच तंत्र को प्रभावित करती है। इस छेद का फायदा उठाकर हमलावर निम्नलिखित कर सकता है:

दुर्भावनापूर्ण कोड अपलोड करना — किसी लोकप्रिय लाइब्रेरी (जैसे Alamofire, Firebase, Kingfisher) के वैध अपडेट के रूप में आधिकारिक रिपॉजिटरी में।
मनमाना कोड निष्पादित करना — उपयोगकर्ता के डिवाइस पर, जब समझौता की गई डिपेंडेंसी का उपयोग करने वाला ऐप बिल्ड या लॉन्च होता है।
संवेदनशील डेटा तक पहुंच प्राप्त करना — एन्क्रिप्शन कुंजियाँ, प्राधिकरण टोकन, उपयोगकर्ता जानकारी।

विशेष खतरा यह है कि हमला डेवलपर की जानकारी के बिना किया जा सकता है — बस एक बार Podfile को अपडेट करना या pod install चलाना पर्याप्त है।

प्रभावित संस्करण

आधिकारिक सुरक्षा बुलेटिन के अनुसार, यह कमजोरी CocoaPods के 1.15.2 तक के सभी संस्करणों में मौजूद है। फिक्स संस्करण 1.16.0 में जारी किया गया है।

कैसे बचाव करें?

डेवलपर्स और प्रोजेक्ट एडमिनिस्ट्रेटर को तुरंत निम्नलिखित कदम उठाने की सलाह दी जाती है:

CocoaPods को अपडेट करें — संस्करण 1.16.0 या उससे ऊपर: sudo gem update cocoapods।
Pod फ़ाइलों की अखंडता जांचें — चेकसम की आधिकारिक चेकसम से तुलना करें।
ऐप्स को पुनः बिल्ड और अपलोड करें — App Store और Mac App Store में मैनेजर के नए संस्करण के साथ।
कोड ऑडिट करें — प्रोजेक्ट्स में संदिग्ध या अप्रलेखित डिपेंडेंसी की जांच करें।

समुदाय की प्रतिक्रिया

CocoaPods टीम ने तुरंत पैच जारी किया और कमजोरी पर एक विस्तृत रिपोर्ट प्रकाशित की। डेवलपर्स को दृढ़ता से सलाह दी जाती है कि वे अपडेट में देरी न करें — विश्लेषकों के अनुसार, 70% तक वाणिज्यिक iOS ऐप्स CocoaPods का उपयोग करते हैं, जो हमले को व्यापक बनाता है।

याद रखें, यह समाचार केवल सूचनात्मक उद्देश्यों के लिए है। नवीनतम अपडेट के लिए GitHub पर CocoaPods के आधिकारिक रिपॉजिटरी और CVE बुलेटिन का अनुसरण करें।