8 de julio de 2024

Millones de aplicaciones iOS expuestas a vulnerabilidad de seguridad en CocoaPods

### Vulnerabilidad en CocoaPods expone millones de aplicaciones de iOS y macOS

En un reciente informe de ArsTechnica basado en la investigación de EVA Information Security, se ha revelado que millones de aplicaciones de iOS y macOS están expuestas a una vulnerabilidad de seguridad que podría ser utilizada para posibles ataques de la cadena de suministro. La vulnerabilidad fue encontrada en CocoaPods, un repositorio de código abierto utilizado por muchas aplicaciones populares desarrolladas para las plataformas de Apple.

#### Exploit encontrado en CocoaPods afectó a aplicaciones de iOS y macOS

Según el informe, alrededor de 3 millones de aplicaciones de iOS y macOS que fueron construidas con CocoaPods han sido vulnerables durante aproximadamente 10 años. CocoaPods facilita a los desarrolladores la integración de código de terceros en sus aplicaciones a través de bibliotecas de código abierto. Cuando una biblioteca se actualiza, las aplicaciones que la utilizan reciben automáticamente las últimas actualizaciones.

EVA Information Security reveló que el exploit podría permitir a los atacantes acceder a datos sensibles de la aplicación, como detalles de tarjetas de crédito, registros médicos y material privado. Los datos podrían ser utilizados con fines maliciosos, como ransomware, fraude, chantaje y espionaje corporativo.

Las vulnerabilidades estaban relacionadas con un mecanismo de verificación de correo electrónico inseguro utilizado para autenticar a los desarrolladores de pods individuales (bibliotecas). Por ejemplo, un atacante podría manipular la URL en un enlace de verificación para que apunte a un servidor malicioso. El equipo de CocoaPods ya ha tomado medidas para asegurarse de que los exploits sean corregidos.

> Después de que los investigadores de EVA notificaran de forma privada a los desarrolladores de CocoaPods sobre la vulnerabilidad, eliminaron todas las claves de sesión para garantizar que nadie pudiera acceder a las cuentas sin tener previamente el control de la dirección de correo electrónico registrada.
>
> Los maintainers de CocoaPods también añadieron un nuevo procedimiento para recuperar antiguos pods huérfanos que requiere contactar directamente a los maintainers. En este momento, un autor tendría que contactar a la empresa para hacerse cargo de una de esas dependencias.

Esta no es la primera vez que CocoaPods ha sido blanco de ataques. En 2021, los maintainers del proyecto confirmaron un problema de seguridad que permitía a los repositorios de CocoaPods ejecutar código arbitrario en los servidores que lo gestionan. Esto podría utilizarse para reemplazar paquetes existentes por versiones maliciosas con código que podría acabar siendo enviado en aplicaciones de iOS y Mac.

Los investigadores de EVA aconsejan a los desarrolladores que utilizan CocoaPods en sus aplicaciones que revisen siempre las dependencias de CocoaPods y ejecuten escaneos de seguridad para detectar código malicioso en todas las bibliotecas externas.

#### Leer también

El artículo proporcionado en el enlace menciona más detalles sobre la vulnerabilidad en CocoaPods y cómo los desarrolladores pueden proteger sus aplicaciones. Es importante estar al tanto de estas cuestiones de seguridad para garantizar la integridad de las aplicaciones en las plataformas de Apple.

Al mantenerse informado y tomar medidas proactivas para proteger las aplicaciones, los desarrolladores pueden evitar posibles problemas de seguridad y mantener la confianza de los usuarios en sus productos. Es fundamental estar al tanto de las últimas amenazas de seguridad y seguir las mejores prácticas para garantizar la protección de los datos y la privacidad de los usuarios.

Recuerda que la seguridad de las aplicaciones es un aspecto crucial en el desarrollo de software y debe ser una prioridad para todos los desarrolladores de aplicaciones móviles.