CVE-2025-24085

Use-after-free no framework CoreMedia da Apple, presente em iOS/iPadOS, macOS, tvOS, visionOS e watchOS, que permite que um aplicativo malicioso já em execução no dispositivo eleve privilégios. A Apple confirma exploração ativa contra versões de iOS anteriores à 17.2, o que indica uso em campanha direcionada (padrão típico de spyware comercial) e não exploração massiva. O CVSS 10.0 atribuído (AV:N/UI:N) é destoante do mecanismo real descrito pelo fornecedor — que exige um app malicioso já instalado/executando no aparelho, ou seja, vetor local, não remoto sem interação.

A falha é um CWE-416 (use-after-free) em CoreMedia, o framework de baixo nível usado por AVFoundation e por serviços de reprodução/decodificação de mídia no ecossistema Apple. Um objeto de memória é liberado e, em algum ponto subsequente do fluxo de processamento, uma referência a esse objeto já liberado ainda é acessada ou usada. Se um atacante conseguir controlar o conteúdo realocado nesse endereço de memória antes do uso da referência dangling, ele pode manipular estruturas internas do processo para escalar privilégios — no caso de CoreMedia, isso normalmente implica comprometer um daemon de mídia com privilégios mais altos que o processo do app malicioso.

O texto oficial da Apple é explícito: 'a malicious application may be able to elevate privileges' — ou seja, o pré-requisito real é ter um aplicativo malicioso já executando no dispositivo, que então aciona a condição de use-after-free em CoreMedia para escalar de seu contexto sandboxed para um contexto com mais privilégios. Isso é fundamentalmente diferente de um vetor remoto sem interação do usuário, e contradiz o vetor CVSS AV:N/UI:N atribuído a este CVE — atribuições de CVSS geradas para CVEs da Apple frequentemente usam um template genérico que não reflete o mecanismo descrito no próprio advisory, e devem ser tratadas com desconfiança ao priorizar patch.

A Apple declara estar 'aware of a report that this issue may have been actively exploited against versions of iOS before iOS 17.2' — linguagem que a empresa usa tipicamente para casos de spyware mercenário usado contra alvos específicos (jornalistas, ativistas, dissidentes), não para exploração em massa. Não há detalhes públicos oficiais sobre o vetor de entrega inicial do app malicioso, o ator responsável, ou a cadeia completa de exploração.

Existe uma alegação pública não oficial, feita por um pesquisador independente em repositório no GitHub, de que CVE-2025-24085 fez parte de uma cadeia zero-click via iMessage ('Glass Cage'), encadeada com uma falha de ImageIO (CVE-2025-43300) e uma falha de WebKit (CVE-2025-24201), levando a fuga de sandbox, acesso de kernel, persistência via launchd e até bricking de dispositivo. Essa alegação não foi confirmada pela Apple nem por análise forense independente amplamente revisada; os indicadores de comprometimento citados nesse relatório incluem um endereço IP privado (172.16.101.176), o que é atípico como evidência de C2 remoto e reforça a necessidade de tratar essa fonte com cautela. O mesmo autor solicitou formalmente, em issue no repositório cisagov/vulnrichment, a elevação do CVSS para 10.0 citando essa mesma cadeia — trata-se da mesma fonte não verificada, não de uma validação independente do CVSS.

A correção oficial é atualizar para as versões indicadas pela Apple: iOS 18.3/iPadOS 18.3 (dispositivos com suporte ao ramo atual), iPadOS 17.7.6 (para hardware legado que recebe apenas atualizações de segurança), macOS Sequoia 15.3, macOS Sonoma 14.7.5, macOS Ventura 13.7.5, tvOS 18.3, visionOS 2.3 e watchOS 11.3. Não há flag, configuração ou variável de ambiente publicada pela Apple que desative o componente vulnerável — CoreMedia é parte central da pilha de mídia do sistema e não pode ser removido ou isolado por configuração do usuário.

Como o pré-requisito real de exploração é a execução de um aplicativo malicioso no dispositivo, o único controle compensatório efetivo antes de aplicar o patch é reduzir a superfície de instalação de apps não confiáveis: restrições via MDM, bloqueio de sideload, e políticas que limitem a instalação de software de fontes não verificadas. Isso não elimina o risco, apenas reduz a chance de o vetor de entrega inicial (o app malicioso) chegar ao dispositivo. Não existe mitigação de rede (WAF, firewall) aplicável, já que a falha não é explorada por um vetor de rede direto.

A Apple não publicou indicadores de comprometimento oficiais para esta CVE. Não há assinatura de log confiável e publicamente documentada que identifique exploração de CoreMedia via este use-after-free especificamente. O único conjunto de IOCs em circulação pública vem do relatório não verificado 'Glass Cage' (endereço IP privado suspeito, modificações em wifid, acesso anômalo a CloudKeychainProxy, chave IORegistry IOAccessoryPowerSourceItemBrickLimit=0) — trate esses indicadores como não confirmados por terceiros independentes; em ambiente corporativo, monitorar crashes/comportamento anômalo de daemons de mídia (mediaserverd e afins) após entrega de mídia por canais como iMessage é a aproximação mais razoável na ausência de assinatura oficial.