Критическая уязвимость в Swift-библиотеке CocoaPods: угроза для iOS и macOS

Онлайн-тренажер Python для начинающих

Изучайте Python легко и без перегрузки теорией. Решайте практические задачи с автоматической проверкой, получайте подсказки на русском языке и пишите код прямо в браузере — без необходимости что-либо устанавливать.

Начать курс

Критическая уязвимость в популярной Swift-библиотеке: под угрозой тысячи iOS и macOS приложений

Эксперты в области кибербезопасности из компании E.V.A Information Security обнаружили критическую уязвимость в менеджере зависимостей CocoaPods — одной из самых популярных библиотек для языков Swift и Objective-C, используемых при разработке под iOS, macOS, tvOS и watchOS. Проблема получила идентификатор CVE-2024-38367 и оценку 9.1 балла по шкале CVSS v3, что классифицирует её как критическую.

Суть проблемы

Уязвимость затрагивает механизм аутентификации и проверки подлинности пакетов в реестре CocoaPods. Злоумышленник, воспользовавшись данной брешью, может:

Загрузить вредоносный код в официальный репозиторий под видом легитимного обновления популярной библиотеки (например, Alamofire, Firebase, Kingfisher).
Выполнить произвольный код на устройстве пользователя при сборке или запуске приложения, использующего скомпрометированную зависимость.
Получить доступ к чувствительным данным: ключам шифрования, токенам авторизации, пользовательской информации.

Особую опасность представляет то, что атака может быть осуществлена без ведома разработчика — достаточно один раз обновить Podfile или выполнить pod install.

Затронутые версии

Согласно официальному бюллетеню безопасности, уязвимость присутствует во всех версиях CocoaPods до 1.15.2 включительно. Исправление выпущено в версии 1.16.0.

Как защититься?

Разработчикам и администраторам проектов рекомендуется немедленно предпринять следующие шаги:

Обновить CocoaPods до версии 1.16.0 или выше: sudo gem update cocoapods.
Проверить целостность используемых Pod-файлов — сравнить контрольные суммы с официальными.
Пересобрать и перевыложить приложения в App Store и Mac App Store с новой версией менеджера.
Аудит кода — проверить проекты на наличие подозрительных или недокументированных зависимостей.

Реакция сообщества

Команда CocoaPods оперативно выпустила патч и опубликовала подробный отчёт об уязвимости. Разработчикам настоятельно рекомендуется не откладывать обновление — по данным аналитиков, до 70% коммерческих iOS-приложений используют CocoaPods, что делает атаку массовой.

Напоминаем, что данная новость носит информационный характер. Для получения актуальных обновлений следите за официальным репозиторием CocoaPods на GitHub и бюллетенями CVE.