CVE-2023-42916

Falha de leitura fora dos limites (out-of-bounds read) no motor WebKit, usado pelo Safari e por todos os apps que renderizam conteúdo web no ecossistema Apple. Um site malicioso pode extrair conteúdo de memória do processo que não deveria ser acessível, vazando dados sensíveis. A Apple confirma exploração ativa contra versões de iOS anteriores à 16.7.1, e a falha está no catálogo KEV da CISA — não é um CVSS 6.5 teórico, foi usada em ataques reais antes da correção pública.

A falha está no WebKit (motor de renderização usado por Safari, WebViews de apps de terceiros e qualquer processo que interprete HTML/JS/CSS no iOS, iPadOS, macOS e tvOS/watchOS). Trata-se de um out-of-bounds read (CWE-125): o código processa conteúdo web fornecido pela página e, em algum ponto do parsing ou renderização, lê memória fora dos limites de um buffer alocado. A correção da Apple foi 'melhor validação de entrada', o que sugere que o tamanho ou índice usado para acessar o buffer não era checado corretamente contra os dados controlados pela página visitada.

O atacante controla o conteúdo HTML/JS servido pela página — não há detalhe público de qual estrutura de dados específica é lida indevidamente, já que a Apple não publica esse nível de detalhe e não há writeup técnico independente disponível nas fontes consultadas. O resultado prático é a divulgação de memória de processo (impacto de confidencialidade alto, sem impacto em integridade ou disponibilidade — refletido no vetor CVSS C:H/I:N/A:N).

A vulnerabilidade foi catalogada no WebKit Bugzilla como issue 265041 e reportada por Clément Lecigne, do Google Threat Analysis Group (TAG) — equipe que rotineiramente investiga campanhas de spyware comercial e ataques direcionados contra jornalistas, dissidentes e alvos de alto perfil. Essa atribuição de descoberta é um forte indicador de que a falha fazia parte de uma cadeia de exploração usada em ataques reais, não de um achado de fuzzing genérico.

A CVE-2023-42916 foi corrigida junto com a CVE-2023-42917 (corrupção de memória no WebKit, também reportada por Lecigne, com impacto de execução de código). Os dois CVEs compartilham o mesmo aviso de exploração contra iOS < 16.7.1, o padrão típico de uma cadeia: o out-of-bounds read (este CVE) provavelmente serve para vazar endereços de memória e contornar mitigações como ASLR, enquanto o segundo CVE fornece a corrupção de memória que leva à execução de código. Essa relação é inferência baseada no padrão comum de exploração de navegador, não uma afirmação da Apple.

O vetor é web: a vítima precisa acessar uma página controlada pelo atacante (AV:N, mas com necessidade de interação do usuário — UI:R no vetor CVSS). Não há pré-requisito de autenticação, configuração não padrão ou privilégio elevado — qualquer usuário que abra um link malicioso no Safari, em uma WebView de terceiros ou em qualquer app que renderize conteúdo web está no escopo. A complexidade de ataque é baixa (AC:L) do ponto de vista de quem já tem o exploit funcional, mas desenvolver a cadeia completa (leak + RCE) exige conhecimento profundo interno do WebKit.

A Apple confirma relato de exploração contra iOS anteriores à 16.7.1 antes da correção pública em 17.1.2. Isso e a presença no catálogo KEV da CISA indicam exploração confirmada em ambiente real, provavelmente como parte de uma cadeia de comprometimento (0-day/n-day) usada em ataques direcionados — padrão típico das descobertas do Google TAG, que historicamente rastreia spyware comercial mirando alvos específicos (jornalistas, ativistas, dissidentes), não campanhas de massa.

Ao final da exploração bem-sucedida (isolada), o atacante obtém apenas divulgação de memória do processo WebKit/renderização — não execução de código por si só. O valor prático dessa CVE isolada é limitado a vazamento de informação; o risco real de comprometimento total do dispositivo depende de encadeamento com outra falha (como a CVE-2023-42917, corrigida no mesmo conjunto de patches).

A correção definitiva é atualizar para as versões que a Apple já publicou: iOS 17.1.2, iPadOS 17.1.2, macOS Sonoma 14.1.2, Safari 17.1.2 (para macOS Monterey e macOS Ventura, que recebem o Safari via update separado do sistema), tvOS 17.2 e watchOS 10.2 — as duas últimas corrigidas em atualizações subsequentes que incluem o mesmo patch. Não há changelog encontrado de backport para versões majors anteriores do WebKit fora desse conjunto; dispositivos que não suportam essas versões de SO (hardware antigo) permanecem expostos sem correção disponível nas fontes consultadas.

Não há paliativo de configuração real: desativar JavaScript no Safari reduz superfície de ataque de forma geral mas não é uma mitigação documentada pelo fornecedor para esta CVE especificamente, e quebra a maioria dos sites. Bloqueio de rede (proxy/WAF) não é eficaz contra esse tipo de falha porque a exploração ocorre no parsing local do conteúdo pelo motor de renderização, não em um padrão de tráfego identificável antecipadamente.

O mito a descartar: atualizar apenas o Safari (via App Store, disponível para macOS Monterey/Ventura) não corrige a falha em dispositivos iOS/iPadOS — nesses o WebKit está embutido no sistema operacional e exige a atualização completa do SO (17.1.2). Em ambientes MDM corporativos, forçar a atualização de SO é a única mitigação efetiva; não adiar por dependência de compatibilidade de apps quando o dispositivo estiver no escopo do KEV.

Não há assinatura de rede ou de log confiável e publicamente documentada para detectar tentativas de exploração desta CVE — o ataque ocorre inteiramente no processamento local de conteúdo web pelo WebKit, sem padrão de tráfego distintivo conhecido. Em ambientes corporativos, a única fonte prática de sinal é MDM/EDR mobile que capture crashes anômalos do processo WebKit/Safari ou comportamento pós-exploração (conexões de rede inesperadas, novos perfis de configuração, processos não assinados) em dispositivos que ainda não receberam o patch 17.1.2 ou equivalente.