CocoaPods 严重漏洞导致 iOS 和 macOS 应用易受供应链攻击

关注

最新推荐文章于 2025-04-25 12:52:03 发布 · 257 阅读

转载 ·

本内容遵循 CC 4.0 BY-SA 版权协议

原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247519949&idx=2&sn=4951a0b220cf599191f950ae82909410&chksm=eb2c393fbe5e57dd78a907469f7e2d10cc7b8769a54e51c2c25132ad71513732e48a5855b722&scene=126&sessionid=0

· GEO检测

苹果0day漏洞深度解析：从供应链攻击到纵深防御实践 0day漏洞是指软件厂商在发现前已被利用的安全缺陷，其核心原理在于攻击者利用软件中未知的弱点绕过安全机制。这类漏洞的技术价值在于能实现权限提升或远程代码执行，常被用于针对性的高级持续性威胁攻击。在应用场景上，供应链攻击、第三方破解工具、非官方系统镜像等高频用户行为，已成为0day漏洞的主要载体。本文聚焦苹果生态中一次被标记为“极其复杂”的0day攻击事件，深入剖析其与“苹果cms”、“苹果id移除工具”等热词关联的风险场景，并系统阐述从官方更新、沙盒隔离到虚拟机防护的纵深防御实践，帮助用户与开发者在封闭生态阅读详情

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Swift 和 Objective-C 的 Cocoa 项目的依赖管理器 CocoaPods 中存在三个漏洞，可用于发动软件供应链攻击，导致下游客户面临严重风险。

以色列E.V.A Information Security公司的安全研究员 Reef Spektor 和 Eran Vaknin 在一份报告中提到，这些漏洞可导致“任何恶意人员获得数千个未声明pod 的所有权，并将恶意代码注入到很多最流行的iOS 和 macOS 应用程序中。”该公司指出，这些漏洞已由 CocoaPods 在2023年10月修复，并在当时重置了所有的用户会话。

其中一个漏洞是CVE-2024-38368（CVSS评分9.3），可导致攻击者滥用 “声明你的 Pods (Claim Your Pods)” 进程并控制包，从而篡改源代码并引入恶意变更。不过，它要求所有之前的维护人员已被删除。

该漏洞的根因可追溯至2014年，当时迁移到 Trunk 服务器导致数千个包拥有未知（或未声明的）所有人，使攻击者通过公开API声明 pod，CocoaPods 源代码 ("unclaimed-pods@cocoapods.org") 中的一个邮件地址就能接管控制。

第二个漏洞更为严重（CVE-2024-38366，CVSS评分10），攻击者可利用不安全的邮件验证工作流，在 Trunk 服务器上运行任意代码，之后用于操纵或替换这些包。

该服务中的第二个问题存在于邮件地址验证组件中（CVE-2024-38367，CVSS评分8.2），它诱骗收件人点击看似无害的验证链接，而实际上会将请求重新路由到受攻击者控制的域名，获得对开发者会话令牌的访问权限。更糟糕的是，可通过欺骗HTTP 标头即修改 X-Forwarded-Host 标头字段，升级为零点击账户接管攻击，并利用配置不当的邮件安全工具。

研究人员表示，“我们发现几乎每个pod的所有人在 Trunk 服务器上注册自己的组织机构邮件，使得他们易受零点击接管漏洞利用攻击。”

这并非 CocoaPods 首次被扫描到。2023年3月，Checkmarx 公司披露称，与依赖管理器 (“cdn2.cocoapods[.]org”) 存在关联的被弃用子域名可被攻击者通过 GitHub Pages 劫持，目的是托管其多个 payload。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

利用 CocoaPods 服务器中的一个 RCE 漏洞，投毒数百万款app

Rapid7：0day攻击和供应链攻陷剧增，MFA利用率仍较低

AI Python 包中存在缺陷 “Llama Drama” ，威胁软件供应链

RSAC 2024观察：软件供应链安全进入AI+时代

在线阅读版：《2023中国软件供应链安全分析报告》全文

原文链接

https://thehackernews.com/2024/07/critical-flaws-in-cocoapods-expose-ios.html