iOS uygulamalarında korkutan güvenlik açığı

EVA Information Security’den siber güvenlik araştırmacıları, Swift ve Objective-C projeleri için bir bağımlılık yöneticisi olan CocoaPods’un, “trunk” sunucusunda üç güvenlik açığı taşıdığını belirttiler.

Bu güvenlik açıklarından biri, platformun pod geliştiricilerini doğrulamak için kullandığı e-posta doğrulama sisteminde bulunuyor. Geliştirici, pod ile alakalı e-posta adresini girerek hesabına erişim sağlıyor ve akabinde e-posta adresine bir ilişki gönderiliyor. Lakin, bu temastaki URL, saldırganların denetimindeki bir sunucuya yönlendirilmek üzere değiştirilebiliyor.

Milyonlarca kullanıcı risk altında

İkinci güvenlik açığı, tehdit aktörlerinin geliştiriciler tarafından terk edilmiş, fakat hala uygulamalarda kullanılan pod’ları ele geçirmesine imkan tanıyor. Üçüncü güvenlik açığı ise saldırganların trunk sunucusunda kod çalıştırabilmesine müsaade veriyor.

Yaklaşık 3 milyon taşınabilir uygulamanın platformda bulunan 100.000 kütüphaneden kimilerini kullanması nedeniyle akın yüzeyi hayli geniş. Dahası, kütüphane değiştirildiğinde, kullanıcıların rastgele bir etkileşimi olmadan uygulamalar otomatik olarak güncelleniyor.

Araştırmacılar, yazdıkları makalede, “Birçok uygulama, kullanıcıların en hassas bilgilerine erişebilir: kredi kartı bilgileri, tıbbi kayıtlar, özel malzemeler ve daha fazlası. Bu uygulamalara kod enjekte etmek, saldırganların bu bilgileri fidye yazılımı, dolandırıcılık, şantaj, kurumsal casusluk üzere neredeyse hayal edilebilecek her türlü berbat niyetli gaye için kullanmasına imkan tanır. Bu süreç, şirketleri büyük yasal sorumluluklara ve prestij riskine maruz bırakabilir.” sözlerine yer verdiler. Siz bu bahis hakkında ne düşünüyorsunuz? Apple’ın bu güvenlik açığına maruz kalmasını nasıl yorumluyorsunuz?

Güvenlik açıkları Ekim 2023’te bildirildi ve düzeltildi, o devirde bu açıkların yırtıcı ortamda istismar edildiğine dair bir delil bulunmamaktaydı. Bugün, uygulama geliştiricileri ve kullanıcıların rastgele bir tedbir almasına gerek kalmadı.