CVE-2021-30883

Falha de corrupção de memória no driver IOMobileFrameBuffer do kernel da Apple, presente em iOS, iPadOS, macOS (Big Sur e Monterey), tvOS e watchOS. Uma aplicação local maliciosa pode explorá-la para executar código arbitrário com privilégios de kernel — ou seja, escapar do sandbox de aplicação e comprometer todo o dispositivo. A Apple confirmou que teve conhecimento de exploração ativa antes da correção, e está no catálogo KEV da CISA.

O componente afetado é o IOMobileFrameBuffer, driver IOKit responsável por gerenciar o framebuffer de exibição em dispositivos Apple. Esse driver expõe métodos via IOConnectCallMethod que podem ser acionados por qualquer aplicação com acesso ao user client correspondente, sem privilégios elevados (PR:N no vetor CVSS). A Apple descreve o problema apenas como 'memory corruption issue... addressed with improved memory handling', sem detalhar CWE específico nem indicar se é overflow de heap, use-after-free ou write out-of-bounds — a nota da fornecedora é deliberadamente vaga, como padrão da Apple para bugs sob exploração ativa.

O IOMobileFrameBuffer tem histórico recorrente de bugs de corrupção de memória explorados para escalonamento de privilégios em iOS (diversas CVEs em anos anteriores seguiram o mesmo padrão: superfície de ataque acessível a partir do sandbox de app, sem interação de usuário privilegiada, com corrupção controlável de estruturas internas do driver). O atacante controla os parâmetros passados nas chamadas ao driver, o que permite corromper memória do kernel e, a partir daí, construir uma cadeia de exploração para obter execução de código com privilégios de kernel — o nível mais alto de comprometimento possível no dispositivo.

O vetor CVSS (AV:L/AC:L/PR:N/UI:R) indica que o ataque exige acesso local (a aplicação maliciosa precisa estar instalada e em execução no dispositivo) e alguma interação do usuário (UI:R), tipicamente induzir a instalação ou execução do app malicioso. Isso não é uma falha remota por rede — é uma primitiva de escalonamento de privilégios local, usada normalmente como segundo estágio de uma cadeia de exploração que começa com outro vetor (ex.: um app instalado, um exploit de sandbox escape via navegador/mensageria, etc.).

Na prática, essa classe de vulnerabilidade raramente é o vetor inicial de um ataque: ela serve como escalonamento de privilégios após o atacante já ter conseguido executar código em contexto de aplicação (sandboxed), seja via um app instalado pela vítima, seja via exploração de outra falha (navegador, parser de mídia, mensageria). A Apple afirmou estar 'ciente de um relatório de que esse problema pode ter sido ativamente explorado', redigido no padrão que a empresa usa para bugs usados em campanhas de spyware ou vigilância direcionada — sem detalhar quem reportou além de 'an anonymous researcher'.

A presença no catálogo KEV da CISA confirma exploração real registrada, exigindo remediação por agências federais dos EUA dentro de prazo determinado. Existe PoC pública catalogada, o que reduz a barreira para reprodução da falha por pesquisadores e, potencialmente, por atores menos sofisticados, ainda que a construção de um exploit funcional de kernel a partir de corrupção de memória raramente é trivial e depende de bypass de mitigações como PAC (em dispositivos ARM64e) e KASLR.

O resultado final da exploração bem-sucedida é execução de código arbitrário em contexto de kernel — controle total do dispositivo, incluindo acesso a dados de todos os apps, câmera, microfone, localização e persistência além do sandbox de qualquer aplicativo.

A correção é atualizar para as versões que a Apple lista como corrigidas: iOS 15.0.2 / iPadOS 15.0.2, iOS 14.8.1 / iPadOS 14.8.1, macOS Monterey 12.0.1, macOS Big Sur 11.6.1, tvOS 15.1 e watchOS 8.1. Não há mitigação de configuração ou paliativo real documentado pela Apple para quem não pode atualizar — o driver IOMobileFrameBuffer é parte essencial da pilha de exibição gráfica e não pode ser desabilitado sem quebrar a funcionalidade do dispositivo.

Não existe um workaround via MDM, restrição de app ou hardening de configuração que neutralize essa falha especificamente; a única defesa eficaz é o patch do sistema operacional. Controles compensatórios genéricos — restringir instalação de apps fora da loja oficial, políticas de MDM que limitem side-loading, monitoramento de comportamento anômalo de processos — reduzem a superfície de exposição ao primeiro estágio de uma cadeia de ataque, mas não eliminam o risco se o dispositivo permanecer sem a atualização.

Dado o registro no catálogo KEV e a confirmação de exploração ativa antes do patch, dispositivos que ainda rodam versões anteriores às corrigidas devem ser tratados como prioritários para atualização imediata, especialmente em contextos de alto risco (jornalistas, ativistas, executivos, funcionários públicos) historicamente associados a campanhas de spyware que exploram esse tipo de falha.

Não há assinatura de rede a procurar, já que a exploração ocorre localmente no dispositivo através de chamadas ao driver IOMobileFrameBuffer — não há tráfego de rede diretamente associado à exploração em si. Times de resposta a incidentes em dispositivos móveis geralmente dependem de indicadores forenses (artefatos em logs do sistema, crashes do processo relacionados ao IOMobileFrameBuffer, ou ferramentas de análise forense móvel especializadas) para identificar tentativas de exploração retroativamente; a Apple não publicou IOCs específicos para essa CVE, e nenhuma das fontes consultadas trouxe assinaturas confiáveis de detecção.