CVE-2023-41064

Falha de buffer overflow no componente ImageIO do iOS, iPadOS e macOS: processar uma imagem malformada pode levar à execução arbitrária de código. A Apple confirma exploração ativa, e pesquisadores da Citizen Lab a associam ao chamado chain BLASTPASS, usado para instalar spyware comercial (Pegasus, da NSO Group) em iPhones sem qualquer interação da vítima — o que torna a falha muito mais grave na prática do que o CVSS 7.8 sugere, já que o vetor oficial marca UI:R (interação do usuário) quando o ataque documentado foi zero-click.

O bug está no ImageIO, o framework da Apple responsável por decodificar formatos de imagem (incluindo WebP) em praticamente todo processo que renderiza mídia — Mensagens, Safari, Mail, apps de terceiros. É um buffer overflow (CWE-787/CWE-122, escrita fora dos limites de um buffer de heap) que ocorre durante o parsing de dados de imagem malformados; a Apple descreve apenas como 'improved memory handling', sem detalhar a rotina afetada.

Há forte indício, levantado por pesquisadores (não confirmado oficialmente pela Apple) de que a raiz do problema é a mesma falha corrigida na libwebp como CVE-2023-4863: um heap buffer overflow na função BuildHuffmanTable do decodificador WebP lossless, que aloca memória insuficiente para tabelas Huffman desbalanceadas. A Citizen Lab e a equipe SEAR da Apple reportaram o problema tanto à Apple (que abriu CVE-2023-41064 para o ImageIO) quanto ao Google (que abriu CVE-2023-4863 para o Chrome/libwebp) no mesmo período, gerando confusão sobre se são o mesmo bug com dois IDs distintos ou vulnerabilidades relacionadas mas separadas.

O atacante controla o conteúdo de uma imagem (payload no formato WebP, segundo a hipótese acima) entregue por qualquer canal que dispare o parsing pelo ImageIO — no caso documentado, um anexo malicioso do tipo PassKit distribuído via iMessage.

Esse CVE não age isolado no ataque real: foi combinado com CVE-2023-41061, uma falha de validação no Wallet, formando uma cadeia completa (ImageIO para corrupção de memória inicial, Wallet para lógica de execução) que resulta em comprometimento do dispositivo.

No relato documentado pela Citizen Lab (BLASTPASS), a exploração é zero-click: a vítima recebe um anexo PassKit malicioso via iMessage e o processamento automático da imagem embutida — sem clique, sem abrir link, sem interação visível — já é suficiente para acionar o overflow e, em conjunto com CVE-2023-41061, executar código e instalar spyware. Isso contrasta com o vetor CVSS oficial (AV:L/UI:R), que reflete uma visão mais restrita da falha isolada e não captura o cenário de exploração remota sem interação observado em campo.

Pré-requisito real de rede: o atacante precisa apenas de um canal para entregar a imagem/anexo ao dispositivo alvo (iMessage, no caso documentado); não exige rede local, autenticação prévia nem configuração não padrão do dispositivo. A superfície de ataque também existe em qualquer app ou serviço que use o ImageIO para decodificar imagens fornecidas por terceiros, não só no Wallet/iMessage.

A exploração é considerada sofisticada e cara — associada a fornecedores de spyware comercial visando alvos de alto risco (jornalistas, ativistas, dissidentes), não a campanhas de massa. Está no catálogo KEV da CISA por exploração confirmada, e existe PoC pública, mas reproduzir o exploit completo de zero-click exige encadear as duas falhas e engenharia considerável — não é trivial replicar o impacto documentado a partir da PoC isolada do overflow.

Atualizar para as versões corrigidas é a única mitigação real: iOS 16.6.1/iPadOS 16.6.1, macOS Ventura 13.5.2, macOS Monterey 12.6.9 (lançadas em 7 de setembro de 2023), e, para dispositivos no ramo legado, iOS 15.7.9/iPadOS 15.7.9 e macOS Big Sur 11.7.10 (lançadas em 11 de setembro de 2023). Não há flag de configuração ou desativação de componente que elimine a falha, já que o ImageIO é usado por praticamente todo o sistema.

Para usuários de alto risco que não podem atualizar imediatamente, a Apple recomenda o Modo de Isolamento (Lockdown Mode), que bloqueia a maior parte dos tipos de anexo e payloads usados na cadeia BLASTPASS — é um controle compensatório real, mas reduz funcionalidade (anexos, links de preview, convites) e não corrige a vulnerabilidade subjacente, apenas reduz a superfície de entrega.

Se a hipótese de raiz comum com CVE-2023-4863 (libwebp) estiver correta, atualizar apenas o sistema operacional Apple não protege contra a mesma classe de bug em outros softwares que embutem libwebp (navegadores, apps de terceiros, servidores que processam WebP) — cada um exige seu próprio patch. Não existe mitigação via WAF ou filtro de rede eficaz contra esse vetor, pois a exploração ocorre no parsing local do arquivo de imagem, não em uma requisição HTTP inspecionável de forma confiável.

Não há assinatura de rede confiável: a exploração documentada (BLASTPASS) ocorre inteiramente no processamento local de um anexo de iMessage, sem tráfego HTTP anômalo característico. Análise forense de dispositivo (backup do iOS) usando ferramentas de verificação de comprometimento voltadas a spyware — como as publicadas por organizações que investigam esses casos — pode revelar artefatos da cadeia, como anexos PassKit anômalos ou processos de renderização de imagem seguidos de comportamento inesperado do Wallet/iMessage, mas isso exige exame post-mortem, não monitoramento em tempo real. Para a maioria dos ambientes corporativos, a ausência de sinal detectável é o dado mais importante: a defesa prática é a atualização, não a detecção.