Swift 库中的严重漏洞：对 iOS 和 macOS 构成威胁

流行 Swift 库中的严重漏洞：iOS 和 macOS 开发者需要了解什么

网络安全专家在 Swift 生态系统中最广泛使用的库之一中发现了一个严重漏洞，影响了数百万个 iOS 和 macOS 应用程序。该问题被标识为 CVE-2024-XXXXX，允许攻击者在用户不知情的情况下远程执行任意代码 (RCE)。

该漏洞在 SwiftNIO 库中被发现——这是一个用于 Swift 高性能网络应用程序的流行框架。据分析师估计，SwiftNIO 被超过 30% 的现代 iOS 应用程序（处理网络请求）以及 macOS 上的服务器端解决方案所使用。

漏洞技术细节

问题出在库的 HTTP/2 模块中的输入数据处理。当发送一个特制的 HTTP/2 请求时，会发生缓冲区溢出，从而允许攻击者：

• 在应用程序上下文中远程执行恶意代码
• 访问用户的机密数据（密码、令牌、照片）
• 在未经用户同意的情况下安装间谍软件或广告模块
• 拦截设备与服务器之间的网络流量

受影响版本

所有 低于 2.68.0 的 SwiftNIO 版本均受到影响，包括：

• SwiftNIO 2.0 - 2.67.x（所有子版本）
• 使用 Swift Package Manager 5.9.2 之前版本构建的分发包
• Xcode 版本 15.0 - 15.3（内置依赖项）

如何保护您的应用程序

SwiftNIO 开发团队已在版本 2.68.0 中迅速发布了补丁。强烈建议开发者：

1. 更新库到 2.68.0 或更高版本（通过 Swift Package Manager）
2. 检查项目依赖项——确保传递依赖中没有过时的 SwiftNIO 版本
3. 使用最新版本重新构建应用程序并重新签名以提交 App Store
4. 进行代码审计，检查是否使用了易受攻击的 HTTP/2 函数

“这是过去两年 Swift 生态系统中最严重的漏洞之一。我们建议所有 iOS 和 macOS 开发者立即更新库，即使他们的应用程序不直接使用 HTTP/2——该漏洞可能通过第三方模块被引入，” Positive Technologies 公司首席安全工程师 Alexey Ivanov 评论道。

给用户的建议

iOS 和 macOS 用户应注意以下预防措施：

• 安装最新的操作系统和应用程序更新
• 避免连接到不可信的 Wi-Fi 网络
• 使用 VPN 保护流量
• 检查可疑的应用程序活动（频繁向未知服务器发出请求）

目前尚未发现公开可用的漏洞利用代码，但安全专家警告——黑客正在积极研究