CVE-2024-38368
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.3
- EPSS
- 14.9%
- CWE
- CWE-668
- KEV Durumu
- Hayır
Yayım tarihi: 1 Temmuz 2024
Etkilenen: cocoapods trunk.cocoapods.org
trunk.cocoapods.org, CocoaPods bağımlılık yöneticisinin kimlik doğrulama sunucusudur. Bir zafiyet, 2014 öncesi çekme isteği iş akışından trunk'a taşınan daha eski pod'lara etkiledi. Pod'lar daha önce talep edilmemişse, hala bunu yapmak mümkün oldu. Ayrıca, bir pod'dan tüm sahiplerinin kaldırılması da mümkün oldu ve bu, pod'un aynı talep sistemine açık olmasını sağladı. Bu, Eylül 2023'te 71be5440906b6bdfbc0bcc7f8a9fec33367ea0f4 commit'inde sunucu tarafında düzeltildi.
Orijinal açıklama (İngilizce)
trunk.cocoapods.org is the authentication server for the CoacoaPods dependency manager. A vulnerability affected older pods which migrated from the pre-2014 pull request workflow to trunk. If the pods had never been claimed then it was still possible to do so. It was also possible to have all owners removed from a pod, and that made the pod available for the same claiming system. This was patched server-side in commit 71be5440906b6bdfbc0bcc7f8a9fec33367ea0f4 in September 2023.
Referanslar
- https://blog.cocoapods.org/Claim-Your-Pods
- https://blog.cocoapods.org/CocoaPods-Trunk-RCEs-2023
- https://evasec.webflow.io/blog/eva-discovered-supply-chain-vulnerabities-in-cocoapods#1-taking-unauthorized-ownership-over-orphaned-pods
- https://github.com/CocoaPods/CocoaPods/security/advisories/GHSA-j483-qm5c-7hqx
- https://github.com/CocoaPods/trunk.cocoapods.org/commit/71be5440906b6bdfbc0bcc7f8a9fec33367ea0f4
- https://blog.cocoapods.org/Claim-Your-Pods
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.