CVE-2023-42824

Falha de escalonamento de privilégios local no kernel do iOS e iPadOS, corrigida silenciosamente pela Apple em outubro de 2023. A gravidade real não está no CVSS 7.8, mas no fato de a Apple confirmar exploração ativa contra versões anteriores ao iOS 16.6 — típico de componente usado em cadeias de exploração de spyware comercial, não em ataques de massa.

A Apple descreve a correção apenas como 'checks melhorados' no componente Kernel, sem detalhar a causa raiz (tipo de memória corrompida, race condition ou validação de permissão ausente). Não há CWE atribuído publicamente pelo fornecedor nem análise técnica independente publicada que reconstrua o bug exato — isso é incomum para CVEs de kernel iOS com KEV, e reflete a política da Apple de não detalhar falhas de segurança até muito depois (ou nunca).

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) indica que o atacante já precisa ter acesso local ao dispositivo com privilégios baixos (PR:L) para acionar a falha — não é uma vulnerabilidade explorável remotamente por si só. Esse pré-requisito é a informação central que a manchete 'privilege escalation ativamente explorada' omite: alguém precisa primeiro rodar código no dispositivo (via app, exploit de outro componente como o WebKit, ou engenharia social) antes de usar essa falha para subir de um contexto sandboxed/com privilégios limitados para controle mais amplo do kernel.

O padrão — falha de kernel PR:L combinada com exploração ativa contra iOS antes de uma versão específica — é consistente com o uso em cadeias de exploit multi-estágio (as usadas por spyware comercial tipo Pegasus/Predator), onde essa CVE seria o estágio de elevação de privilégio após um comprometimento inicial via zero-click ou zero-day em outro componente.

Não há PoC pública funcional documentada como exploração remota trivial; o CVSS e a natureza 'local' da falha implicam que ela serve como peça de uma cadeia de exploração, não como ponto de entrada isolado. O atacante precisa de execução de código no dispositivo antes de acionar essa CVE para escalar privilégios — geralmente o estágio final de um exploit chain que já comprometeu o processo do usuário ou app.

A Apple confirma que a exploração ativa observada atingiu versões de iOS anteriores à 16.6, e a CISA adicionou a CVE ao catálogo KEV em 5 de outubro de 2023 (prazo de correção federal: 26/10/2023), classificando-a como 'Apple iOS and iPadOS Kernel Privilege Escalation Vulnerability' sem detalhar o ator ou campanha. Não há confirmação pública de uso em ransomware.

Para o leitor que administra frota de dispositivos: o risco prático concentra-se em cenários de alvo específico (jornalistas, ativistas, executivos, dispositivos governamentais) — não em exploração de massa via rede ou navegador isolada, dado o requisito de acesso local prévio.

Atualizar para iOS 16.7.1 / iPadOS 16.7.1 (dispositivos a partir do iPhone 8 e modelos de iPad listados pela Apple) ou para iOS 17.0.3 / iPadOS 17.0.3 (dispositivos a partir do iPhone XS), que contêm a mesma correção aplicada em ramos de versão diferentes. Não existe paliativo de configuração, flag ou controle compensatório publicado pela Apple para quem não pode atualizar — o sistema é fechado e não há como desabilitar o componente afetado do kernel sem atualizar o SO.

Dispositivos que não recebem mais nenhuma dessas atualizações (hardware descontinuado abaixo do iPhone 8) permanecem vulneráveis sem correção disponível; a única mitigação real nesse caso é a substituição do hardware ou a redução de superfície de ataque (restringir instalação de apps de fontes não confiáveis, MDM restritivo), o que não elimina o risco, apenas reduz a chance de o pré-requisito de acesso local ser satisfeito.

Não existe mitigação via WAF, firewall de rede ou proxy — a falha é local ao dispositivo e não trafega por rede de forma que controles de perímetro a detectem ou bloqueiem.

A Apple não publicou indicadores de comprometimento, assinaturas ou padrões de exploração associados a esta CVE, e não há análise forense pública detalhando artefatos deixados pelo exploit. Como o vetor exige acesso local prévio, sinais de alerta relevantes são os do estágio anterior da cadeia (app anômalo instalado fora da loja oficial, processo de app com comportamento fora do esperado, indicadores de comprometimento associados a spyware comercial detectados por ferramentas de análise forense móvel), não algo detectável em log de rede ou de borda.