Vulnerabilidade crítica na biblioteca Swift CocoaPods: ameaça para iOS e macOS

Vulnerabilidade crítica na popular biblioteca Swift: milhares de aplicativos iOS e macOS sob ameaça

Especialistas em cibersegurança da empresa E.V.A Information Security descobriram uma vulnerabilidade crítica no gerenciador de dependências CocoaPods — uma das bibliotecas mais populares para as linguagens Swift e Objective-C, usadas no desenvolvimento para iOS, macOS, tvOS e watchOS. O problema recebeu o identificador CVE-2024-38367 e uma pontuação de 9.1 na escala CVSS v3, classificando-o como crítico.

Essência do problema

A vulnerabilidade afeta o mecanismo de autenticação e verificação de autenticidade de pacotes no registro do CocoaPods. Um invasor, aproveitando-se dessa brecha, pode:

• Carregar código malicioso no repositório oficial disfarçado de atualização legítima de uma biblioteca popular (por exemplo, Alamofire, Firebase, Kingfisher).
• Executar código arbitrário no dispositivo do usuário durante a compilação ou execução do aplicativo que utiliza a dependência comprometida.
• Obter acesso a dados sensíveis: chaves de criptografia, tokens de autorização, informações do usuário.

O perigo especial reside no fato de que o ataque pode ser realizado sem o conhecimento do desenvolvedor — basta atualizar o Podfile uma vez ou executar pod install.

Versões afetadas

De acordo com o boletim de segurança oficial, a vulnerabilidade está presente em todas as versões do CocoaPods até a 1.15.2 inclusive. A correção foi lançada na versão 1.16.0.

Como se proteger?

Recomenda-se que desenvolvedores e administradores de projetos tomem imediatamente as seguintes medidas:

• Atualizar o CocoaPods para a versão 1.16.0 ou superior: sudo gem update cocoapods.
• Verificar a integridade dos arquivos Pod utilizados — comparar as somas de verificação com as oficiais.
• Recompilar e republicar os aplicativos na App Store e Mac App Store com a nova versão do gerenciador.
• Auditoria de código — verificar projetos quanto à presença de dependências suspeitas ou não documentadas.

Reação da comunidade

A equipe do CocoaPods lançou rapidamente um patch e publicou um relatório detalhado sobre a vulnerabilidade. Os desenvolvedores são fortemente aconselhados a não adiar a atualização — segundo analistas, até 70% dos aplicativos iOS comerciais usam CocoaPods, tornando o ataque massivo.

Lembramos que esta notícia é de caráter informativo. Para obter atualizações atuais, acompanhe o repositório oficial do CocoaPods no GitHub e os boletins CVE.