CVE-2021-1870

Falha lógica no WebKit — o motor de renderização usado pelo Safari e por qualquer app que embuta WebView em iOS, iPadOS e macOS — que permite execução arbitrária de código a partir de conteúdo web malicioso, sem interação além de abrir a página. A Apple confirmou relato de exploração ativa antes da correção, e a CVE está no catálogo KEV da CISA, o que eleva a prioridade de patch mesmo com EPSS baixo (~7,9%).

A Apple descreve o problema apenas como 'a logic issue... addressed with improved restrictions', sem detalhar o mecanismo interno, o componente exato do WebKit ou o CWE. Não há, nas fontes disponíveis, um write-up técnico independente que dissecasse a causa raiz (por exemplo, se é confusão de tipos, use-after-free ou violação de política de origem) — a única informação verificável é a que a própria Apple publicou e a lista de correção que aparece nos changelogs do WebKitGTK.

O vetor de impacto (AV:N/AC:L/PR:N/UI:N no CVSS) indica que basta o navegador (ou um WebView embutido) processar conteúdo controlado pelo atacante para acionar a falha — não é preciso autenticação nem configuração não padrão. O CVSS 9.8 reflete confidencialidade, integridade e disponibilidade totalmente comprometidas, consistente com execução de código no contexto do processo de renderização.

O fato de a mesma CVE aparecer nos updates de segurança do WebKitGTK (usado por navegadores GTK em Linux, como os empacotados no Fedora e Gentoo) confirma que o bug está no núcleo compartilhado do WebKit, e não é exclusivo da build da Apple — mas o WebKitGTK é um fork com sincronização de patches às vezes atrasada, então a data de correção em Linux (abril/2021) veio depois da correção da Apple (janeiro/2021, refletida nos boletins de fevereiro citados no NVD).

O vetor é remoto e passivo do ponto de vista do atacante: ele hospeda ou injeta conteúdo web malicioso e espera a vítima abrir a página no Safari, em qualquer app com WebView, ou em navegadores baseados em WebKitGTK. Não há pré-requisito de autenticação, privilégio elevado ou configuração especial — a única condição real é o dispositivo estar em uma versão vulnerável e o usuário carregar a página.

A Apple declarou estar 'ciente de um relato de que esse problema pode ter sido ativamente explorado', e a CISA incluiu a CVE no catálogo KEV, o que confirma exploração real, não apenas teórica — mas nenhuma das fontes consultadas detalha a campanha, o ator ou a cadeia completa (é comum falhas assim serem encadeadas com um segundo bug para escapar do sandbox do processo de renderização e obter execução fora do contexto do navegador; isso não está confirmado nas fontes disponíveis para esta CVE específica).

O resultado final documentado é execução arbitrária de código no contexto do WebKit/Safari — suficiente para comprometer dados acessíveis pelo navegador e, dependendo de encadeamento com outras falhas, escalar para o sistema.

Atualizar é a única mitigação real: iOS 14.4, iPadOS 14.4, macOS Big Sur 11.2, Security Update 2021-001 para Catalina, Security Update 2021-001 para Mojave. Em distribuições Linux que empacotam WebKitGTK, atualizar para 2.30.6 (branch usada no Fedora 32) ou 2.32.0 (Fedora 33) ou qualquer versão >= 2.30.6 conforme o GLSA da Gentoo.

A Gentoo registra explicitamente 'no known workaround at this time' — não existe configuração, flag ou controle compensatório documentado que neutralize a falha sem atualizar o motor WebKit. Restringir JavaScript ou desabilitar recursos web reduz superfície de ataque de forma genérica, mas não é mitigação validada pelo fornecedor para esta CVE específica.

Dispositivos iOS/iPadOS abaixo de 14.4 e Macs sem os Security Updates de 2021-001 permanecem expostos independentemente de qualquer controle de rede — a exploração ocorre no cliente, então firewall e proxy não bloqueiam o vetor, só a entrega do conteúdo malicioso se houver bloqueio de domínio conhecido, o que raramente existe para 0-day.

Nenhuma fonte consultada publica indicadores de comprometimento, assinaturas de rede ou padrões de log específicos para esta CVE — a Apple não divulga detalhes de exploração além de confirmar o relato, e a CISA no KEV não lista IOCs. Na prática, a única visibilidade indireta é monitorar crashes anômalos ou reinicializações inesperadas do processo WebKit/Safari (WebContent process) em dispositivos ainda não atualizados, e correlacionar com acesso a domínios recém-registrados ou de reputação desconhecida no momento do crash — mas isso é heurística genérica, não uma detecção confiável desta falha específica.