CocoaPods 爆發嚴重漏洞，威脅 App 供應鏈安全！本文針對本次漏洞概述，詳細拆解身份驗證繞過與任意代碼執行等技術細節，並提供三大解決方案，幫助開發者有效防範安全風險，避免重大的潛在影響。


一、CocoaPods 背景介紹

CocoaPods 是一個流行的開源依賴管理工具，廣泛應用於 iOS 和 macOS 的應用程式開發中。它使得開發者可以輕鬆地將第三方資料庫整合到他們的項目中。然而，隨著依賴管理系統的普及，安全問題也成為了不可忽視的風險來源。2024 年 7 月，CocoaPods 被發現存在多個嚴重的安全漏洞，這些漏洞可能會被攻擊者用來進行惡意活動​。


二、CocoaPods漏洞概述

在本次揭露的 CocoaPods 漏洞中，共有三個主要漏洞，分別為：


(一)CVE-2024-38366

這個漏洞涉及CocoaPods伺服器的驗證機制不當，可能允許攻擊者繞過身份驗證流程，獲取未經授權的訪問權限。

(二)CVE-2024-38367

此漏洞源於元數據處理不當，攻擊者可以通過惡意構造的Podspec檔案注入惡意代碼，從而在受害者的環境中執行任意代碼。

(三)CVE-2024-38368

涉及不安全的 HTTP 通信，攻擊者可通過中間人攻擊（MITM）竊取敏感信息或修改數據包內容。


這些漏洞的共同點在於它們均影響了CocoaPods 的核心運行機制，且容易被利用來發起多種攻擊，如任意代碼執行、資料竊取以及服務中斷等​。


三、技術細節

(一)身份驗證繞過（CVE-2024-38366）

這個漏洞主要是由於驗證系統在處理憑證時存在邏輯缺陷。當開發者通過 CocoaPods安裝或更新資料庫時，該系統無法正確驗證伺服器的身份憑證。這意味著攻擊者可以設置一個惡意伺服器，並偽裝成合法的CocoaPods伺服器，使開發者不經意間下載並安裝惡意代碼。


解決方案：開發者應更新CocoaPods至最新版本，並確保使用HTTPS而不是HTTP 進行通訊。此外，應檢查本地的 .netrc 檔案以確保沒有泄露敏感的身份驗證憑證。


(二)任意代碼執行（CVE-2024-38367）

該漏洞涉及 Podspec 文件中的元數據解析過程。Podspec 是描述 CocoaPods 庫的配置文件，其中包含庫的版本、依賴項及其他元信息。由於解析不當，攻擊者可以在其中注入惡意腳本，從而在安裝或更新過程中執行任意代碼。


解決方案：為了防止此類攻擊，開發者應避免使用不可信的Podspec檔案，並定期檢查和更新他們的開發環境。CocoaPods 官方也已發布更新來加強解析過程的安全性。


(三)不安全的通信（CVE-2024-38368）

此漏洞主要是因為在與 CocoaPods 伺服器進行通信時使用了不安全的 HTTP 協議，這使得攻擊者可以輕易地攔截和修改數據包內容，甚至進行中間人攻擊來竊取或篡改數據。


解決方案：開發者應確保所有與 CocoaPods 相關的通信均通過 HTTPS 協議進行。此外，為了防止不必要的風險，建議開發者在網路設定中啟用 TLS 1.2 或更高版本。


四、潛在影響

這些漏洞的影響範圍廣泛，尤其是對於依賴 CocoaPods 進行第三方庫管理的開發者和企業而言。攻擊者可能利用這些漏洞來植入惡意軟體、竊取敏感數據、劫持應用程式控制權等，從而對受害者造成重大經濟損失和信譽損害。


五、結論

CocoaPods 的這些安全漏洞提醒我們在開發和使用開源工具時，需時刻關注安全問題。開發者應及時更新他們的工具版本，採用最佳的安全實踐以減少潛在風險。開源社群也需加強對於安全漏洞的發現和修補，以確保使用者能夠安全地使用這些工具​。


通過以上的分析和建議，希望能夠幫助開發者更好地應對和防範來自依賴管理工具的安全風險。在當今網路安全形勢日益複雜的背景下，強化安全意識和技術實踐是每個開發者和企業不可或缺的能力。

有任何資安問題，歡迎隨時與NEITHNET團隊聯繫！

參考資料：

1.CocoaPods 官方網站 https://cocoapods.org/https://cocoapods.org/

2.【資安月報】2024年7月https://www.ithome.com.tw/news/164223