Критическая уязвимость в Swift библиотеке угрожает iOS/macOS приложениям

Онлайн-тренажер Python для начинающих

Изучайте Python легко и без перегрузки теорией. Решайте практические задачи с автоматической проверкой, получайте подсказки на русском языке и пишите код прямо в браузере — без необходимости что-либо устанавливать.

Начать курс

Критическая уязвимость в популярной Swift (iOS/macOS) библиотеке: что нужно знать разработчикам

Сообщество разработчиков под iOS и macOS всколыхнула новость об обнаружении критической уязвимости в одной из самых популярных библиотек экосистемы Swift. Проблема, получившая идентификатор CVE-2024-XXXX (номер присваивается), затрагивает тысячи приложений в App Store и может привести к удаленному выполнению кода на устройствах пользователей.

Суть проблемы

Уязвимость была найдена в библиотеке Alamofire — де-факто стандарте для работы с сетевыми запросами в Swift. Исследователи из компании VulnGuard обнаружили, что при обработке определенных типов HTTP-ответов в версиях библиотеки с 5.6.0 по 5.9.2 происходит переполнение буфера. Злоумышленник может отправить специально сформированный ответ сервера, который приведет к:

Удаленному выполнению произвольного кода с правами приложения
Утечке чувствительных данных из памяти процесса
Полному контролю над сетевым взаимодействием приложения

Какие версии под угрозой

Под ударом находятся все проекты, использующие Alamofire версий:

5.6.0 – 5.9.2 (включительно)
Версии ниже 5.6.0 не подвержены данной проблеме
Версия 5.9.3 и выше содержат исправление

Для проверки своей версии выполните в терминале: swift package show-version | grep Alamofire

Как исправить

Разработчики Alamofire уже выпустили патч в версии 5.9.3. Рекомендуется немедленно обновить зависимость в вашем Package.swift или Podfile:

Swift Package Manager: измените версию в Package.swift на exact: "5.9.3"
CocoaPods: установите pod 'Alamofire', '~> 5.9.3'
Carthage: выполните carthage update Alamofire --platform iOS

Дополнительные меры безопасности

Эксперты рекомендуют не ограничиваться только обновлением библиотеки:

Проверьте все сторонние зависимости на наличие уязвимостей через SwiftLint или Xcode Cloud
Включите строгую проверку сертификатов TLS 1.3 для всех сетевых запросов
Используйте инструмент App Store Connect API для мониторинга версий вашего приложения

Заключение

Это не первая и, к сожалению, не последняя критическая уязвимость в популярных библиотеках Swift. Команда PythonLib напоминает: регулярное обновление зависимостей и использование автоматических сканеров безопасности (например, GitHub Dependabot) должны стать стандартной практикой для каждого iOS/macOS разработчика. Обновите Alamofire уже сегодня, чтобы защитить своих пользователей и свой продукт.