Novos bugs deixam milhares de aplicativos iOS em perigo

Recentes descobertas em um utilitário de software de código aberto amplamente utilizado levantaram sérias preocupações sobre a segurança de milhares de aplicativos iOS e macOS. Essas vulnerabilidades expuseram potencialmente muitos aplicativos populares, incluindo TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams e Facebook Messenger, a riscos significativos de segurança. A gravidade dos problemas sublinha a necessidade urgente de as equipes de DevOps atualizarem seus sistemas para proteger os usuários contra possíveis explorações maliciosas.

As vulnerabilidades foram identificadas no CocoaPods, um gerenciador de dependências muito utilizado para projetos de software nas linguagens Swift e Objective-C. Gerenciadores de dependências são ferramentas cruciais no desenvolvimento de software, permitindo a validação e assinatura criptográfica de pacotes. Quando comprometidos, podem ter implicações severas para a segurança da web.

A descoberta foi feita por pesquisadores da EVA Information Security, uma empresa especializada em segurança cibernética e testes de penetração. Eles identificaram que as vulnerabilidades resultaram de uma migração imperfeita do servidor CocoaPods em 2014, que deixou milhares de pacotes de software órfãos. Através de falhas de segurança, invasores poderiam assumir o controle desses pacotes, substituindo o código-fonte original por código malicioso. Isso poderia levar a ataques à cadeia de suprimentos, introduzindo atualizações maliciosas em projetos corporativos dependentes desses pacotes.

Impacto das vulnerabilidades

Os pesquisadores detalharam que o processo de migração em 2014 deixou milhares de pacotes sem proprietários conhecidos, muitos dos quais continuam amplamente utilizados em outras bibliotecas. Utilizando uma API pública e um endereço de e-mail disponível no código-fonte do CocoaPods, um invasor poderia reivindicar a propriedade de qualquer um desses pacotes, permitindo a inserção de código malicioso. Isso expôs potencialmente milhares de aplicativos e milhões de dispositivos a riscos de segurança significativos.

Embora todas as três vulnerabilidades tenham sido corrigidas, a seriedade da questão e o fato de terem sido ignoradas por quase uma década é alarmante. Muitos aplicativos iOS e macOS, codificados em Swift e Objective-C, são particularmente suscetíveis a esses problemas. Os pesquisadores alertam que um ataque bem-sucedido poderia infectar quase todos os dispositivos Apple, expondo milhares de organizações a consequências catastróficas, incluindo danos financeiros e à reputação.

Consequências potenciais

Até o momento, não há evidências de que aplicativos foram efetivamente comprometidos. No entanto, a possibilidade de invasões significativas não pode ser descartada. Dada a capacidade de muitos aplicativos acessarem informações sensíveis, como detalhes de cartões de crédito, registros médicos e materiais privados, um ataque poderia ter consequências devastadoras. Um cibercriminoso poderia utilizar o código malicioso para ransomware, fraude, chantagem ou espionagem corporativa.

Os pesquisadores da EVA Information Security instam os desenvolvedores a revisarem a integridade das dependências de código aberto em seus aplicativos, garantindo que seus sistemas e usuários estejam protegidos contra tais ameaças.

As falhas de segurança em software de código aberto são um problema conhecido. A indústria de software comercial frequentemente depende do software livre, mas dedica pouco tempo à segurança e consolidação desses ecossistemas.

Para se proteger contra essas vulnerabilidades, é aconselhável que desenvolvedores e organizações:

1. Revisem listas de dependências e gerenciadores de pacotes usados em seus aplicativos.
2. Validem somas de verificação de bibliotecas de terceiros.
3. Realizem verificações periódicas para detectar códigos maliciosos ou alterações suspeitas.
4. Mantenham o software atualizado.
5. Limitem o uso de pacotes órfãos ou sem manutenção.