Un gestore delle dipendenze come CocoaPods consente agli sviluppatori che utilizzano Xcode di gestire le versioni di diverse librerie o la loro integrazione , per linguaggi di computer come Swift o Objective-C. CocoaPods è diventato un punto di riferimento per gli sviluppatori di software, poiché spesso si affidano al codice esistente per accelerare lo sviluppo delle loro applicazioni.
Contrariamente alla credenza popolare , iOS non è immune alle violazioni della sicurezza e sono abbastanza comuni. Lunedì scorso, CacaoPods ha annunciato di aver scoperto un problema di sicurezza presente nel software da giugno 2015, vale a dire quasi 6 anni fa . Secondo la dichiarazione ufficiale , il colpevole è un pacchetto che potrebbe eseguire un codice arbitrario sui server che lo hanno utilizzato. Pertanto, potrebbe essere utilizzato da persone malintenzionate per sostituire i pacchetti esistenti con virus nelle app iOS utilizzate da milioni di utenti. Per il momento non sappiamo esattamente se questa falla sia stata sfruttata in questi 6 anni .
SIGNAL UTILIZZA COCOAPODS, MA NON È STATO INFLUENZATO DALLA VULNERABILITÀ
Signal, l’alternativa più sicura di WhatsApp e Facebook Messenger, è una delle 3 milioni di applicazioni che utilizzano CocoaPods. Interrogato in merito dai nostri colleghi di 9to5Mac, il servizio di messaggistica basato sulla riservatezza ha risposto che non era stato interessato da questa vulnerabilità . ” In generale, controlliamo tutte le nostre dipendenze di terze parti, sia quando vengono aggiunte che quando vengono aggiornate. Conserviamo la nostra copia di tutte queste dipendenze per facilitare il controllo ed evitare modifiche impreviste, che puoi trovare qui. Inoltre, abbiamo eseguito un ulteriore controllo dopo aver sentito parlare di questa vulnerabilità per verificare che il codice in questa directory corrisponda al codice del tag per tutte le nostre dipendenze ” , ha aggiunto Signal.
Il team di sviluppo di Signal è esperto, ma non tutti gli sviluppatori che lavorano con le dipendenze lo sono . La falla è stata corretta il più rapidamente possibile da CocoaPods lato server , che quindi non porta ad alcuna azione da parte della maggior parte degli sviluppatori. Tuttavia, gli unici sviluppatori che dovranno agire da soli saranno quelli che rilasciano i propri pacchetti su CocoaPods, poiché i loro token di autenticazione sono stati ripristinati .
Fonte: 9to5Mac
