CocoaPods 曝关键漏洞，数百万 macOS 和 iOS 应用程序面临供应链攻击风险
💡
原文中文，约1300字，阅读约需4分钟。
📝
内容提要
CocoaPods的关键漏洞可能导致供应链攻击，已修补。开发人员需审查安全实践和更新依赖项，强调依赖管理器和软件开发中的安全性重要性。
🎯
关键要点
- CocoaPods的关键漏洞可能导致供应链攻击，影响数百万macOS和iOS设备上的应用程序。
- 漏洞出现在CocoaPods迁移到Trunk服务器时，导致数千个软件包无人认领，攻击者可利用公共API获取敏感信息。
- 无人认领的软件包暴露近十年，直到2023年10月才被修补。
- Trunk服务器是CocoaPods基础设施的重要组成部分，负责库文件的分发和托管。
- 发现的关键漏洞包括CVE-2024-38366、CVE-2024-38368和CVE-2024-38367，分别影响电子邮件验证和软件包认领功能。
- 这些漏洞可能导致合法软件包被篡改，用户面临重大风险。
- 开发人员被敦促审查安全实践并更新依赖项，以降低未来被利用的风险。
- 此事件强调了依赖管理器和软件开发中安全性的重要性，安全研究人员需积极应对潜在漏洞。
➡️
