Swift 库中的关键漏洞：对 iOS 和 macOS 的威胁

流行 Swift (iOS/macOS) 库中的关键漏洞：开发者需要了解什么

Apple 生态系统一直以其安全性著称，但即使是最可靠的环境有时也会发现关键漏洞。本周，来自 Wardle Security 公司的网络安全研究人员报告了广泛使用的 Swift（iOS 和 macOS）库中的一个危险错误。该问题被标识为 CVE-2024-27818，影响了数千个应用程序，包括企业级和银行解决方案。

漏洞本质

SwiftSecureNetworking 库（化名，出于安全考虑，在官方补丁发布前已替换真实名称）用于加密网络连接和处理 iOS 及 macOS 应用程序中的证书。该漏洞与使用 TLS 1.3 协议时 SSL 证书链验证不正确有关。攻击者可以伪造证书并注入恶意代码，从而拦截设备与服务器之间传输的所有数据。

根据报告，该漏洞影响库的 2.1.0 至 2.6.3 版本。利用该漏洞无需物理访问设备——只要用户连接到不安全的 Wi-Fi 网络或点击钓鱼链接即可。

潜在风险

• 凭据窃取——登录名、密码和身份验证令牌可能被拦截。
• 财务信息泄露——使用此库的银行应用程序面临风险。
• 恶意软件注入——通过证书替换，可以在设备上加载恶意代码。
• 通信隐私泄露——即时通讯和邮件客户端也可能被入侵。

谁处于风险之中？

该问题涉及使用 SwiftSecureNetworking 处理 HTTPS 请求、WebSocket 连接和推送通知的应用程序。以下应用尤其脆弱：

• 金融应用程序（网上银行、加密货币钱包）
• 医疗服务（远程医疗、医疗记录存储）
• 用于远程工作的企业应用程序
• 通过 iPhone/Mac 管理的物联网设备应用程序

给开发者的建议

强烈建议 Swift 应用程序开发者：

• 更新库至 2.7.0 或更高版本（补丁已发布）。
• 通过 Swift Package Manager 检查依赖项——易受攻击的版本可能已被传递性引入。
• 进行代码审计，检查是否使用了过时的加密方法。
• 加强服务器端网络连接的监控。

社区反应

在 Apple Developer 论坛和 GitHub 上已经展开了热烈的讨论。许多开发者指出，该漏洞在被发现之前可能已经存在了一年多。一些专家批评 Apple 在 App Store 中对第三方库的自动检查不足。“这提醒我们，即使在 Apple 生态系统中，安全也需要持续关注。”