CocoaPods 曝关键漏洞，数百万 macOS 和 iOS 应用程序面临供应链攻击风险
内容提要
CocoaPods的关键漏洞可能导致供应链攻击，已修补。开发人员需审查安全实践和更新依赖项，强调依赖管理器和软件开发中的安全性重要性。
延伸解读
漏洞根源：迁移遗留问题
CocoaPods 迁移到 Trunk 服务器时，数千个软件包因未关联有效邮箱而成为“无人认领”状态，且暴露近十年。攻击者利用公共 API 获取这些邮箱，进而通过认领功能控制软件包。这暴露了依赖管理器在基础设施迁移中若未彻底清理历史数据，可能埋下长期供应链风险。
漏洞危害：从代码执行到账户接管
三个漏洞中，CVE-2024-38366 允许在 Trunk 服务器上执行任意代码，CVE-2024-38368 使攻击者能控制无人认领的软件包并篡改源代码，CVE-2024-38367 则通过恶意重定向窃取令牌或接管账户。这些漏洞组合可导致合法应用被注入恶意代码，威胁整个 iOS 和 macOS 生态。
修复与遗留问题
CocoaPods 已于 2023 年 10 月修补漏洞，但具体利用细节尚未公开。开发人员应审查安全实践并更新依赖项，以降低风险。此外，2023 年初曾出现子域劫持漏洞，表明 CocoaPods 并非首次受审查，依赖管理器的安全性需持续关注。
Q&A
CocoaPods的漏洞是如何影响macOS和iOS应用程序的？
CocoaPods的漏洞可能导致供应链攻击，攻击者可以利用无人认领的软件包注入恶意代码，从而影响数百万macOS和iOS设备上的应用程序。
CocoaPods的关键漏洞具体是什么？
关键漏洞包括CVE-2024-38366、CVE-2024-38368和CVE-2024-38367，涉及电子邮件验证和软件包认领功能，可能导致合法软件包被篡改。
开发人员应该如何应对CocoaPods的安全漏洞？
开发人员应审查安全实践并更新依赖项，以降低未来被利用的风险。
CocoaPods的Trunk服务器有什么重要性？
Trunk服务器是CocoaPods基础设施的重要组成部分，负责库文件的分发和托管，对版本控制和用户验证至关重要。
这些漏洞对用户数据和应用程序的安全性有什么影响？
这些漏洞可能导致用户数据被篡改或盗取，攻击者可以通过可信渠道分发恶意软件，威胁整个iOS和macOS生态系统。
CocoaPods的漏洞是何时被修补的？
这些无人认领的软件包的漏洞直到2023年10月才被修补。
