Más de tres millones de aplicaciones para iOS y macOS han estado expuestas durante 10 años a un grave fallo de seguridad recién descubierto en CocoaPods, un repositorio de código abierto. Así lo revela la investigación realizada por EVA Information Security y reportada por ArsTechnica, que nos recuerda la importancia de trabajar con código propio y auditar el de terceros. Pero, desde el punto de vista de los usuarios, ¿podemos defendernos?
Un fallo de seguridad que lleva 10 años activo
CocoaPods es un servicio que facilita la integración de código de terceros en las aplicaciones, permitiendo a los desarrolladores acceder a librerías actualizadas automáticamente. Sin embargo, esta comodidad viene con un riesgo inherente. El exploit encontrado se relaciona con un mecanismo de verificación de correo electrónico inseguro para autenticar a los desarrolladores de las librerías.
Los atacantes han podido, durante 10 años, manipular el enlace de verificación para redirigir a un servidor malicioso y con el sistema automático hacer llegar a la app en cuestión el código necesario para conseguir acceso a datos tan sensibles como detalles de tarjetas de crédito, registros médicos y otro material privado.
Este tipo de vulnerabilidad no solo expone información confidencial al riesgo de robo, sino que también abre la puerta a ataques más complejos. La gravedad de la situación se acentúa al considerar que muchas de las aplicaciones afectadas son utilizadas diariamente por millones de usuarios en todo el mundo.
Ante este panorama, surge una pregunta inevitable: ¿cómo podemos defendernos de tal vulnerabilidad? La primera línea de defensa es, sin duda, la diligencia por parte de los desarrolladores de aplicaciones. EVA Information Security recomienda que los desarrolladores revisen cuidadosamente las dependencias de CocoaPods y realicen escaneos de seguridad para detectar código malicioso en todas las librerías externas.
Después de ser notificados por los investigadores de EVA, los mantenedores de CocoaPods eliminaron todas las claves de sesión para prevenir accesos no autorizados y la implementación de un nuevo procedimiento para la recuperación de librerías antiguas. Hasta que, sin embargo, la responsabilidad recae únicamente en los desarrolladores.
Dado el impacto mediático de la situación, es de esperar que los desarrolladores que usan el servicio de CocoaPods, escaneen y repasen el contenido de sus aplicaciones. Hecho esto, por nuestra parte todo lo que podemos hacer —igual que con esta actualización de seguridad para los AirPods— es instalar rápidamente todas las actualizaciones que puedan aparecernos en el App Store.
Más allá de eso, como siempre hemos comentado, es importante que instalemos apps de fuentes de confianza. En este contexto, recordemos los sistemas de seguridad del App Store de Apple y tengamos también presente que ciertas apps requieren por nuestra parte una cierta verificación del equipo detrás del desarrollo y de sus prácticas de seguridad. La dependencia de librerías de terceros es una práctica quizá demasiado común, una que sin las salvaguardas adecuadas, conlleva muchos más riesgos que beneficios.
