Se han descubierto tres fallos de seguridad en el Vainas de cacao Administrador de dependencias para proyectos Cocoa de Swift y Objective-C que podrían explotarse para organizar ataques a la cadena de suministro de software, poniendo en grave riesgo a los clientes posteriores.
Las vulnerabilidades permiten que «cualquier actor malicioso reclame la propiedad de miles de pods no reclamados e inserte código malicioso en muchas de las aplicaciones iOS y macOS más populares», dijeron los investigadores de EVA Information Security Reef Spektor y Eran Vaknin. dicho en un informe publicado hoy.
La empresa israelí de seguridad de aplicaciones dijo que los tres problemas ya se han solucionado. parcheado por CocoaPods a partir de octubre de 2023. También restablece todas las sesiones de usuario en ese momento en respuesta a las divulgaciones.
Una de las vulnerabilidades es CVE-2024-38368 (puntuación CVSS: 9,3), que hace posible que un atacante abuse de «Reclama tus cápsulas» procesan y toman el control de un paquete, lo que les permite alterar el código fuente e introducir cambios maliciosos. Sin embargo, esto requería que todos los mantenedores anteriores hubieran sido eliminados del proyecto.
Las raíces del problema se remontan a 2014, cuando se produjo una migración hacia el Servidor troncal dejó miles de paquetes con nombres desconocidos (o no reclamado) propietarios, lo que permitía a un atacante utilizar una API pública para reclamar pods y una dirección de correo electrónico que estaba disponible en el código fuente de CocoaPods («[email protected]») para tomar el control.
El segundo error es aún más crítico (CVE-2024-38366, puntuación CVSS: 10.0) y aprovecha un flujo de trabajo de verificación de correo electrónico inseguro para ejecutar código arbitrario en el servidor Trunk, que luego podría usarse para manipular o reemplazar los paquetes.
También se identifica en el servicio un segundo problema en el componente de verificación de dirección de correo electrónico (CVE-2024-38367, puntuación CVSS: 8,2) que podría incitar a un destinatario a hacer clic en un enlace de verificación aparentemente benigno, cuando, en realidad, redirige el enlace. solicitud a un dominio controlado por un atacante para obtener acceso a los tokens de sesión de un desarrollador.
Para empeorar las cosas, esto puede convertirse en un ataque de apropiación de cuenta sin hacer clic falsificando un encabezado HTTP, es decir, modificando el X-host reenviado campo de encabezado y aprovechar herramientas de seguridad de correo electrónico mal configuradas.
«Hemos descubierto que casi todos los propietarios de pods están registrados con el correo electrónico de su organización en el servidor Trunk, lo que los hace vulnerables a nuestra vulnerabilidad de adquisición sin clic», dijeron los investigadores.
Esta no es la primera vez que CocoaPods pasa por el escáner. En marzo de 2023, Checkmarx reveló que un subdominio abandonado asociado con el administrador de dependencias («cdn2.cocoapods[.]org») podría haber sido secuestrado por un adversario a través de páginas de GitHub con el objetivo de alojar sus cargas útiles.