Hàng nghìn ứng dụng iOS có thể gặp nguy vì lỗ hổng nguồn mở

Nhóm nghiên cứu của EVA Information Security, công ty an ninh mạng và kiểm thử tại Israel phát hiện một lỗ hổng trên phần mềm nguồn mở Cocoapods có thể khiến các ứng dụng như Facebook, TikTok, Netflix trên iOS, macOS có nguy cơ bị tấn công.

Cocoapods là trình quản lý phụ thuộc (Dependency Manager) được sử dụng rộng rãi cho các dự án phần mềm được mã hóa bằng ngôn ngữ lập trình Swift và Objective-C.

Dependency Manager là công cụ quan trọng trong quá trình phát triển phần mềm, cho phép xác thực và ký mã hóa các gói phần mềm.

Vì vậy, việc Cocoapods gặp vấn đề sẽ ảnh hưởng xấu đến nhiều phần của phần mềm hoặc web.

Theo EVA Information Security, lỗ hổng là kết quả của quá trình di chuyển máy chủ Cocoapods không trơn tru và có thể đã tồn tại từ năm 2014, khiến hàng nghìn gói thư viện phần mềm không còn liên kết với tệp gốc ban đầu và không thể truy xuất nguồn gốc.

Kẽ hở này cho phép kẻ tấn công thay thế mã nguồn gốc bằng mã độc hại của chúng vào công cụ phát triển phần mềm dành cho nhà phát triển. Vì không được phát hiện trong thời gian dài nên có thể có hàng nghìn ứng dụng và hàng triệu thiết bị đã bị lộ những năm qua.

Hacker có thể lợi dụng lỗ hổng cài ransomware hoặc các loại mã độc khác vào các ứng dụng có quyền truy cập vào thông tin nhạy cảm của người dùng và thu thập chúng.

Cũng theo nhóm nghiên cứu, đa số ứng dụng iOS và macOS đều được mã hóa bằng ngôn ngữ Swift và Objective-C, trong đó có cả những cái tên phổ biến như TikTok, Snapchat, LinkedIn, Netflix, Microsoft Teams, Facebook, Messenger. Vì vậy, lỗ hổng trên phần mềm nguồn mở Cocoapods có thể ảnh hưởng tới hàng nghìn ứng dụng và "một cuộc tấn công vào hệ sinh thái ứng dụng di động có thể lây nhiễm cho hầu hết thiết bị của Apple, khiến hàng nghìn tổ chức bị ảnh hưởng.

Theo nhóm nghiên cứu, Cocoapods hiện đã vá những lỗi trên. Nhưng việc chúng tồn tại gần một thập kỷ không được phát hiện là một vấn đề đáng lo ngại. Nhóm khuyến cáo các nhà phát triển nên xem lại mã nguồn sản phẩm của mình để xác định phần mềm có bị dính lỗi hay không.

Apple chưa đưa ra bình luận về phát hiện nghiêm trọng này.