Новые ошибки с открытым исходным кодом делают тысячи приложений iOS уязвимыми для взлома

Как обеспокоенный пользователь iOS и MacOS, я глубоко обеспокоен недавним обнаружением уязвимостей в Cocoapods, широко используемой программной утилите с открытым исходным кодом. Потенциальное влияние на популярные приложения, такие как TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook Messenger и многие другие, вызывает тревогу. Эти ошибки могли позволить злоумышленникам внедрить вредоносные обновления кода, подвергнув риску тысячи или даже миллионы устройств.

Как заинтересованный пользователь и читатель технических новостей, я рад поделиться некоторыми последними разработками в мире программного обеспечения с открытым исходным кодом. Похоже, что в широко используемой утилите был обнаружен ряд уязвимостей, которые могут представлять значительный риск для существенных частей экосистем iOS и MacOS. Согласно выводам исследователей безопасности, эти уязвимости могут затронуть тысячи популярных приложений, таких как TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook Messenger и многие другие. Хотя для самих компонентов с открытым исходным кодом были выпущены исправления, я могу только представить себе лихорадочные усилия команд DevOps по обеспечению быстрого обновления своих систем, чтобы защитить пользователей от потенциального неправильного использования.

Рекомендуемое чтение

Cocoapods, популярный менеджер зависимостей, используемый для программных проектов Swift и Objective-C, недавно обнаружил скрытые уязвимости. Менеджеры зависимостей играют решающую роль в разработке программного обеспечения, обеспечивая проверку и цифровую подпись пакетов программного обеспечения. Компрометация этого важного инструмента может привести к серьезным проблемам в обширных областях Интернета.

Эксперты E.V.A. Information Security, известная компания по кибербезопасности и тестированию на проникновение, в ходе своих расследований обнаружила уязвимости в Cocoapods. Эти проблемы возникли из-за несовершенной миграции сервера Cocoapods, произошедшей в 2014 году. В результате многие пакеты программного обеспечения оказались «потерянными при переходе», что сделало их уязвимыми для использования злоумышленниками. Гипотетически эти пакеты могли быть конфискованы и использованы для проведения атак на цепочки поставок, внося вредоносные обновления кода в зависящие от них корпоративные проекты. Вот как это описывают исследователи:

В 2014 году в результате массовой миграции появилось множество невостребованных пакетов (создатели которых неизвестны), которые продолжают пользоваться популярностью в различных библиотеках. Используя общедоступный API и адрес электронной почты, найденный в исходном коде CocoaPods, злоумышленник может стать владельцем любого из этих пакетов. Этот захват власти позволит злоумышленнику заменить исходный код своим собственным вредоносным кодом… Обнаруженные нами слабости могут быть использованы для манипулирования самим менеджером зависимостей, а также любым общедоступным пакетом. Потенциальный охват этих зависимостей распространяется на тысячи приложений и миллионы устройств, которые оказались уязвимыми за последние несколько лет.

Как геймер, я могу сказать вам, что в последних обновлениях были устранены три неприятные ошибки, но их потенциальное влияние и длительное воздействие, несомненно, вызывают беспокойные ночи у многих разработчиков программного обеспечения. Причина, по которой Apple оказалась в центре этого затруднительного положения, связана с широким использованием языков Swift и Objective-C для кодирования приложений iOS и MacOS, что делает эти приложения уникально восприимчивыми к текущим проблемам. По мнению исследователей, охват этих ошибок может охватывать от тысяч до миллионов приложений, а атака на экосистему мобильных приложений Apple потенциально может заразить почти каждое устройство Apple, подвергая бесчисленное множество организаций риску значительного финансового и репутационного ущерба.

Согласно недавним выводам исследователей, не появилось никаких конкретных доказательств того, что приложения были взломаны. Тем не менее, потенциальные последствия такого взлома значительны: неавторизованные лица потенциально могут получить доступ к наиболее конфиденциальной информации пользователей, включая данные кредитных карт, медицинские записи и личные файлы. Этот доступ позволит киберпреступникам сеять хаос различными способами: от установки программ-вымогателей и участия в мошеннических действиях до шантажа и корпоративного шпионажа.

Эксперты рекомендуют корпорациям проверять компоненты с открытым исходным кодом, включенные в их программное обеспечение, и проводить тщательные проверки, чтобы гарантировать подлинность и безопасность как своих собственных систем, так и систем своих пользователей.

Уязвимости безопасности программного обеспечения с открытым исходным кодом являются распространенной проблемой. Предприятия часто используют программное обеспечение с открытым исходным кодом для создания своих коммерческих продуктов, однако они тратят минимум ресурсов на укрепление и защиту этого основополагающего элемента Интернета в целом. Следовательно, результаты могут оказаться ниже желаемых.

TopMob обратился к Apple за комментариями и обновит эту историю, если ответит.

Смотрите также

2024-07-02 23:43