iPhone-ի միլիոնավոր հավելվածներ 10 տարի շարունակ խոցելի են եղել հաքերների համար

iPhone սմարթֆոնների և Mac համակարգիչների համար նախատեսված միլիոնավոր հավելվածներ 10 տարի շարունակ խոցելի են եղել հաքերների համար՝ կրիտիկական թերությունների պատճառով: Ըստ E.V.A Information Security ընկերության փորձագետների զեկույցի՝ խոցելիությունները հայտնաբերվել են բաց կոդով CocoaPods պահոցում, որն օգտագործվում է Apple-ի սարքերի համար նախատեսված բազմաթիվ հայտնի հավելվածների կողմից:

Առաջին խոցելիությունը, որն ստացել է CVE-2024-38368 կոդային անունը, CVSS սանդղակում գնահատվել է 9,3 միավոր: Այն հարձակվողներին թույլ է տալիս Claim Your Pods գործընթացի միջոցով վերահսկողություն ձեռք բերել ծրագրային փաթեթների նկատմամբ: Դա անելու համար հարձակվողը պետք է նախագծից հեռացնի բոլոր նախորդ մշակողներին: Խնդիրը ծագել է 2014-ից, երբ միգրացիան դեպի Trunk սերվեր առանց սեփականատիրոջ թողեց հազարավոր փաթեթներ, ինչն անբարեխիղճ օգտատերերին հնարավորություն տվեց օգտագործել համընդհանուր հասանելի API-ը և էլփոստի հասցեն դրանց նկատմամբ վերահսկողությունը սահմանելու համար:

Երկրորդ խոցելիությունը՝ CVE-2024-38366, ստացել է առավելագույն 10 միավոր և կապված է էլփոստի նույնականացման ոչ անվտանգ մեխանիզմի հետ, որը հնարավորություն է տալիս սերվերի վրա գործարկել կոդը և փոխարինել թիրախային փաթեթները։

Երրորդ խոցելիությունը (CVE-2024-38367), որն ստացել է 8.2 միավոր, ներառում է էլփոստի ստուգման գործընթացի մանիպուլյացիա, ինչը թույլ է տալիս հարձակվողներին հարցումները վերաուղղորդել դեպի վնասակար տիրույթներ սեսիայի թոքենները գողանալու համար: Սա կարող է հանգեցնել հարձակումների նույնիսկ առանց օգտագործողի կողմից որևէ գործողություն անելու դեպքում։

CocoaPods-ի թիմն արձագանքել է սպառնալիքներին՝ դեռ 2023-ի հոկտեմբերին թողարկելով խոցելիությունները վերացնող շտկումներ, նաև հնարավոր հարձակումները կանխելու համար  վերագործարկելով բոլոր սեսիաները, սակայն այս իրավիճակի մասին հայտնի է դարձել միայն հիմա։