CocoaPods Swift库中的严重漏洞：对iOS和macOS的威胁

流行Swift库中的严重漏洞：数千个iOS和macOS应用面临威胁

来自E.V.A Information Security公司的网络安全专家在依赖管理器CocoaPods中发现了一个严重漏洞——这是用于Swift和Objective-C语言（用于iOS、macOS、tvOS和watchOS开发）最流行的库之一。该问题被标识为CVE-2024-38367，CVSS v3评分为9.1分，被归类为严重级别。

问题本质

该漏洞影响了CocoaPods注册表中的包身份验证和真实性检查机制。利用此漏洞，攻击者可以：

• 上传恶意代码到官方仓库，伪装成流行库（例如Alamofire、Firebase、Kingfisher）的合法更新。
• 执行任意代码在用户设备上，当使用被入侵依赖的应用在构建或运行时。
• 访问敏感数据：加密密钥、授权令牌、用户信息。

特别危险的是，攻击可以在开发者不知情的情况下进行——只需更新一次Podfile或执行pod install即可。

受影响版本

根据官方安全公告，该漏洞存在于所有1.15.2及以下版本的CocoaPods中。修复版本已在1.16.0中发布。

如何防护？

建议开发者和项目管理员立即采取以下步骤：

• 更新CocoaPods到1.16.0或更高版本：sudo gem update cocoapods。
• 检查完整性——将使用的Pod文件的校验和与官方版本进行比对。
• 重新构建并重新提交应用到App Store和Mac App Store，使用新版本的管理器。
• 代码审计——检查项目中是否存在可疑或未记录的依赖项。

社区反应

CocoaPods团队迅速发布了补丁，并公布了关于该漏洞的详细报告。强烈建议开发者不要推迟更新——根据分析数据，高达70%的商业iOS应用使用CocoaPods，这使得攻击可能大规模发生。

提醒您，此新闻仅供参考。要获取最新更新，请关注GitHub上的CocoaPods官方仓库和CVE公告。