De kallas Cocoapods och är kodbibliotek för Swift, Apples utvecklingsverktyg, och de används i miljontals appar och program för Apples plattform. Under flera år så innehöll de här programbiblioteken synnerligen allvarliga säkerhetsbuggar som inte åtgärdades förrän i slutet av förra året.

De tre buggarna upptäcktes inte förrän runt tio år efter det att kodbiblioteken lanserades vilket innebär att de har använts i ett mycket stort antal program och appar vilket i sin tur innebar att miljontals användare kunde ha exponerats för mycket allvarliga säkerhetsbuggar.

Det israeliska säkerhetsföretaget EvaSec har publicerat en rapport om de tre buggarna som gör det möjligt att ta över kontrollen över en app eller ett program, injicera skadlig kod och sedan stjäla användarens information.

”Många applikationer kan komma åt en användares mest känsliga information: kreditkortsuppgifter, medicinska journaler, privat material och mer”, skriver EVA Information Security, i rapporten.

Åtgärdades

Buggarna åtgärdades i oktober förra året men det betyder också att alla som använt de här kodbiblioteken måste uppdatera sina program och appar för att deras program inte ska vara sårbara för de här buggarna längre.

With about 100,000 libraries used in over 3 million mobile apps, CocoaPods is an open source dependency manager for Swift and Objective-C projects. Dependency managers such as CocoaPods and others (including NPM, Maven, and PyPI) play a critical role in open source software supply chains. By checksumming and cryptographically signing packages, they allow developers to verify the integrity and authenticity of the components they’re using. However, compromise of the dependency manager itself poses a severe threat. Attackers who infiltrate the servers or developer accounts of these tools could push malicious updates that spread widely.

As part of a red team exercise for a customer, we have discovered several critical vulnerabilities in the mechanisms used to manage packages and verify their owners on the CocoaPods server.

EVA Information Security

Den här allvarliga incidenten visar på baksidan med att utveckla och använda kodbilbiotek, färdiga delar, i en app och ett program. Samtidigt så är kodbibliotek, färdiga funktioner en verklighet i all utveckling av mjukvara. Det skulle ta alldeles för lång tid att skriva all kod, även kod för standardfunktioner.

Ett exempel:

De flesta appar och program ska kunna skicka data till en skrivarkö – för en utskrift. Det är en standardfunktion där kodbiliotek används. Detsamma för en lång rad standardfunktioner, visa tangentbordet i en app, kopiera och klistra in text och så vidare.

Tio år

Det anmärkningsvärda i det här sammanhanget är att buggarna förblev oupptäckta i över tio år – vilket också ledde till kodbilbioteken finns i så många appar och program – med buggarna.