Експерти компанії EVA Information Security виявили одразу три серйозні вразливості в менеджері залежностей CocoaPods для проєктів на Swift і Objective-C Cocoa. Вразливості ставлять під загрозу безліч застосунків, створених розробниками для техніки Apple, що працюють під управлінням iOS і macOS.

Згідно зі звітом, близько 3 мільйонів застосунків для iOS і macOS, створених за допомогою CocoaPods, були вразливі протягом приблизно 10 років. Для тих, хто не знайомий, CocoaPods спрощує розробникам інтеграцію стороннього коду у свої додатки через бібліотеки з відкритим вихідним кодом. Коли бібліотека оновлюється, додатки, що використовують її, автоматично отримують останні оновлення.

EVA Information Security виявила, що зловмисники можуть використати вразливість для отримання доступу до конфіденційних даних застосунку, включно з банківськими картками, медичними записами та особистими матеріалами. Дані можуть бути використані для низки шкідливих цілей, включно з програмами-вимагачами, шахрайством, шантажем і корпоративним шпигунством.

Вразливості були пов'язані з небезпечним механізмом перевірки електронної пошти, використовуваним для аутентифікації розробників окремих модулів (бібліотек). Наприклад, зловмисник міг маніпулювати URL у посиланні перевірки, щоб вказати на шкідливий сервер. Команда CocoaPods уже зробила кроки для забезпечення виправлення вразливостей.