PT-2024-5209 · Cocoapods · Cocoapods

B4Rd4K + 1 · Publicado 2024-07-01 · Atualizado 2025-04-10 · CVE-2024-38367

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:H/A:H

Nome do software vulnerável e versões afetadas:

CocoaPods (versões afetadas não especificadas)

Descrição:

O problema está relacionado ao servidor de autenticação do gerenciador de dependências CocoaPods, onde a etapa de verificação das sessões do trunk poderia ser manipulada, permitindo o sequestro da sessão do proprietário. Isso poderia resultar na apropriação total da conta do trunk do CocoaPods, permitindo que o agente mal-intencionado manipule especificações de pods, interrompa a distribuição de bibliotecas legítimas ou cause perturbações generalizadas no ecossistema do CocoaPods.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-488

Identificadores relacionados

BDU:2024-05770

CVE-2024-38367

GHSA-52GF-M7V9-M333

Produtos afetados

Cocoapods

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/38xxx/CVE-2024-38367.json · Exploit
• 🔥 https://evasec.io/blog/eva-discovered-supply-chain-vulnerabities-in-cocoapods#vulnerability-3-achieving-zero-click-account-takeover-by-defeating-email-security-boundaries · Exploit
• https://github.com/CocoaPods/CocoaPods/security/advisories/GHSA-52gf-m7v9-m333 · Nota
• https://github.com/CocoaPods/trunk.cocoapods.org/commit/d4fa66f49cedab449af9a56a21ab40697b9f7b97 · Correção
• https://t.me/cvenotify/95096 · Publicação no Telegram
• https://twitter.com/Action1corp/status/1810738388330229822 · Publicação no Twitter
• https://blog.cocoapods.org/CocoaPods-Trunk-RCEs-2023 · Aviso do Fabricante
• https://xakep.ru/2024/07/03/cocoapods-problems · Nota
• https://t.me/true_secator/5924 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-38367 · Nota de Segurança
• https://t.me/cvenotify/84957 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-38367 · Aviso do Fabricante
• https://evasec.webflow.io/blog/eva-discovered-supply-chain-vulnerabities-in-cocoapods#2-remote-code-execution-on-the-cocoapods-trunk-server · Nota
• https://twitter.com/cedwhitedragon/status/1910149750868922566 · Publicação no Twitter
• https://t.me/echeloneyes/2908 · Publicação no Telegram