Last Updated on 2024-07-02 05:32 by admin
CocoaPodsの依存関係マネージャーにおいて、SwiftおよびObjective-CのCocoaプロジェクトを対象とした3つのセキュリティ脆弱性が発見された。これらの脆弱性は、ソフトウェアサプライチェーン攻撃を仕掛けることを可能にし、iOSおよびmacOSアプリケーションを深刻なリスクに晒す。E.V.A Information Securityの研究者によると、これらの問題により、悪意のあるアクターが数千の未請求のポッドを所有権を主張し、多くの人気iOSおよびmacOSアプリケーションに悪意のあるコードを挿入することが可能になる。これらの脆弱性は2023年10月にCocoaPodsによって修正され、ユーザーセッションもリセットされた。
最初の脆弱性CVE-2024-38368（CVSSスコア：9.3）は、「Claim Your Pods」プロセスを悪用し、パッケージの制御を奪い、ソースコードに悪意のある変更を加えることを可能にする。2014年のTrunkサーバーへの移行により、所有者不明のパッケージが数千個発生し、公開APIとCocoaPodsソースコード内のメールアドレス（”[email protected]”）を使用してポッドの所有権を主張することが可能になった。
二番目の脆弱性CVE-2024-38366（CVSSスコア：10.0）は、不安全なメール検証ワークフローを利用してTrunkサーバー上で任意のコードを実行し、パッケージを操作または置き換えることができる。さらに、CVE-2024-38367（CVSSスコア：8.2）というメールアドレス検証コンポーネントの問題も特定され、攻撃者が制御するドメインへのリクエストに誘導することで、開発者のセッショントークンへのアクセスを得ることが可能になる。これは、HTTPヘッダーを偽装し、メールセキュリティツールの誤設定を利用することで、ゼロクリックのアカウント乗っ取り攻撃に拡大する可能性がある。
2023年3月、Checkmarxは、CocoaPodsに関連する放棄されたサブドメイン（”cdn2.cocoapods[.]org”）が、GitHub Pagesを介して敵対者によってハイジャックされ、ペイロードをホストする目的で使用される可能性があることを明らかにした。
【ニュース解説】
CocoaPodsは、iOSおよびmacOS向けのアプリケーション開発において、SwiftやObjective-Cで書かれたコードの依存関係を管理するためのツールです。このツールは、開発者がサードパーティ製のライブラリやフレームワークを簡単にプロジェクトに組み込むことを可能にします。しかし、最近発覚したセキュリティ上の脆弱性により、この依存関係管理システムを通じて、iOSおよびmacOSアプリケーションがサプライチェーン攻撃のリスクにさらされることが明らかになりました。
サプライチェーン攻撃とは、サードパーティ製のコンポーネントやソフトウェアを標的とするサイバー攻撃の一種であり、これらの脆弱性を悪用することで、攻撃者は最終的な製品やサービスに影響を与えることができます。この場合、CocoaPodsの脆弱性を利用して、攻撃者は未請求のポッド（依存関係パッケージ）を乗っ取り、悪意のあるコードを挿入することが可能になり、結果として多くの人気iOSおよびmacOSアプリケーションが危険にさらされることになります。
この問題の根本には、所有者不明のパッケージが多数存在し、攻撃者がこれらのパッケージを容易に主張できる状況がありました。特に重要なのは、メール検証プロセスの脆弱性を悪用して、攻撃者が任意のコードを実行し、パッケージの内容を操作できる点です。これにより、開発者のセッショントークンを盗み取り、さらにはアカウントを乗っ取ることさえ可能になります。
このような攻撃は、エンドユーザーにとって直接的なセキュリティリスクをもたらすだけでなく、企業の信頼性やブランドイメージにも深刻な影響を与えかねません。開発者や企業は、依存関係管理ツールのセキュリティを確保し、定期的なセキュリティチェックを行うことが重要です。
CocoaPodsのチームは、これらの脆弱性に対処し、修正を行ったことを発表しました。これにより、今回特定された問題は解決されたとされていますが、ソフトウェアサプライチェーンのセキュリティに対する意識を高め、継続的な監視と改善が求められます。また、この事件は、開発者や企業が使用する依存関係管理ツールのセキュリティに対する理解を深め、適切な対策を講じることの重要性を改めて浮き彫りにしています。
from Critical Flaws in CocoaPods Expose iOS and macOS Apps to Supply Chain Attacks.
