Эксперты нашли критические уязвимости, из-за которых миллионы смартфонов и компьютеров Apple были под угрозой взлома.
Миллионы программ для iPhone и Mac были уязвимы перед хакерами из-за CocoaPods
Фото: © RusPhotoBank
Миллионы приложений для iPhone и Mac оказались уязвимы перед хакерами в течение десятилетия из-за серьёзных проблем. Об этом сообщается в отчёте специалистов по информационной безопасности из E.V.A Information Security. Уязвимости были обнаружены в репозитории с открытым исходным кодом CocoaPods, который используется многими популярными приложениями Apple.
Первая из уязвимостей, обозначенная как CVE-2024-38368, оценена на 9,3 балла по шкале CVSS. Эта уязвимость позволяет злоумышленникам получить контроль над программными пакетами через процесс Claim Your Pods, предполагающий удаление всех предыдущих разработчиков из проекта. Проблема уходит корнями в 2014 году, когда миграция на сервер Trunk оставила тысячи пакетов без владельцев, что дало недобросовестным пользователям возможность использовать общедоступный API и адрес электронной почты для захвата контроля над ними.
Вторая уязвимость, CVE-2024-38366, получила максимальную оценку 10 баллов и связана с небезопасным механизмом верификации электронной почты, который позволяет выполнение кода на сервере и замену целевых пакетов.
Третья уязвимость, CVE-2024-38367, с оценкой 8,2 балла, включает манипуляции с процессом верификации электронной почты, позволяя злоумышленникам перенаправлять запросы на вредоносные домены для кражи сессионных токенов. Это может привести к атакам даже без участия пользователя.
Команда CocoaPods отреагировала на угрозу, выпустив патчи для устранения уязвимостей ещё в октябре 2023 года и проведя сброс сессий всех пользователей для предотвращения возможных атак. Однако о существовании этой проблемы стало известно лишь в начале июля.
Ранее сообщалось, что iPhone X, AirPods и HomePod получили статус винтажных устройств.