Theo báo cáo mới nhất từ ArsTechnica dựa trên nghiên cứu của EVA Information Security, hàng triệu ứng dụng iOS và macOS đang đối mặt với nguy cơ bị tấn công bảo mật nghiêm trọng. Lỗ hổng này được phát hiện trong CocoaPods – một kho mã nguồn mở được sử dụng phổ biến trong phát triển ứng dụng cho nền tảng iOS và macOS của Apple.
Lỗ hổng ảnh hưởng đến ứng dụng iOS và macOS
Báo cáo chỉ ra rằng khoảng 3 triệu ứng dụng iOS và macOS được xây dựng bằng CocoaPods đã tồn tại lỗ hổng này trong suốt 10 năm qua. CocoaPods là công cụ giúp các nhà phát triển dễ dàng tích hợp mã nguồn bên thứ ba vào ứng dụng thông qua các thư viện mã nguồn mở. Khi một thư viện được cập nhật, các ứng dụng sử dụng nó sẽ tự động nhận bản cập nhật mới nhất.
Tổ chức EVA Information Security tiết lộ rằng lỗ hổng này có thể cho phép tin tặc truy cập vào dữ liệu nhạy cảm của ứng dụng iOS như thông tin thẻ tín dụng, hồ sơ y tế và tài liệu cá nhân. Dữ liệu này có thể bị lợi dụng cho nhiều mục đích độc hại, bao gồm tống tiền, lừa đảo, tống tién và gián điệp công nghiệp.
Các lỗ hổng liên quan đến cơ chế xác minh email không an toàn cũng được sử dụng để xác thực các nhà phát triển của từng pod (thư viện). Ví dụ, kẻ tấn công có thể thao túng URL trong liên kết xác minh để trỏ đến một máy chủ độc hại.
Khi nhận được thông tin mật về lỗ hổng từ nhóm nghiên cứu EVA, đội ngũ phát triển CocoaPods đã nhanh chóng tìm cách để khắc phục. Họ tiến hành vô hiệu hóa toàn bộ các khóa phiên hiện có. Biện pháp này nhằm đảm bảo rằng chỉ những người có quyền kiểm soát địa chỉ email đã đăng ký mới có thể truy cập vào tài khoản tương ứng, ngăn chặn mọi khả năng truy cập trái phép.
Đây không phải là lần đầu tiên CocoaPods trở thành mục tiêu bởi tin tặc. Vào năm 2021, nhóm duy trì dự án đã xác nhận một vấn đề bảo mật cho phép các kho lưu trữ CocoaPods chạy mã tùy ý trên các máy chủ quản lý nó. Điều này có thể được sử dụng để thay thế các gói hiện có bằng các phiên bản độc hại với mã có thể xuất hiện trong các ứng dụng iOS và Mac.
