CVE-2021-30657

Falha lógica no Gatekeeper do macOS que permite a uma aplicação maliciosa rodar sem passar pela verificação de assinatura/notarização que normalmente bloqueia ou avisa sobre software não confiável. A Apple confirma exploração ativa antes da correção, e a CISA incluiu a falha no catálogo KEV — o risco real não é o CVSS moderado (5.5), mas o fato de ser o mecanismo usado para dar o primeiro passo de execução em campanhas de malware/adware para macOS sem o aviso padrão de 'desenvolvedor não identificado'.

O Gatekeeper decide se permite a execução de um binário baixado com base no atributo estendido de quarentena (com.apple.quarantine) e em uma consulta ao syspolicyd, que verifica assinatura de código e ticket de notarização antes do 'primeiro lançamento' de um app. O CISA KEV classifica a falha com CWE-862 (Missing Authorization) e localiza o problema no componente System Preferences — ou seja, na lógica que decide se aquela verificação de autorização deve ou não ser acionada para um determinado objeto executável, não em um bug de corrupção de memória.

A Apple descreve a causa como 'a logic issue... addressed with improved state management', linguagem que indica um problema de rastreamento de estado (ex.: em que momento do fluxo de abertura de um app o sistema decide que a política de Gatekeeper já foi satisfeita) e não um detalhe de parsing de arquivo específico. As fontes consultadas não detalham o payload técnico exato (estrutura de bundle, campo de Info.plist ou API específica abusada) além do que a Apple e a CISA publicaram; qualquer afirmação mais granular sobre o mecanismo interno seria especulação.

Vale notar que, na mesma leva de correções (Big Sur 11.3 / Security Update 2021-002 Catalina), a Apple também corrigiu CVE-2021-1810, outro bypass de Gatekeeper, este no componente Archive Utility, reportado por Rasmus Sten (F-Secure). São falhas distintas com o mesmo efeito final (execução sem checagem do Gatekeeper), o que sugere que a superfície de 'quando o Gatekeeper decide verificar' tinha múltiplos pontos frágeis nesse período.

O vetor exige interação do usuário (UI:R no vetor CVSS) e execução local (AV:L): a vítima precisa baixar e abrir/executar a aplicação maliciosa — não há exploração remota direta sem esse passo. Não é necessária autenticação (PR:N) nem privilégios prévios no sistema. O ganho para o atacante é integridade alta e nenhuma confidencialidade/disponibilidade diretamente afetada, porque o que se compromete é o controle de política do SO (o app roda como se tivesse sido aprovado), não dados do usuário por si só.

Na prática, esse tipo de bypass é usado como etapa inicial de cadeias de infecção: droppers de adware e trojans para macOS historicamente dependem de escapar do aviso 'não é possível abrir porque vem de um desenvolvedor não identificado' para que a vítima execute o payload sem suspeitar. A Apple declarou estar ciente de relato de exploração ativa antes do patch, e a CISA confirmou isso ao incluir a CVE no catálogo KEV (adicionada em 03/11/2021, com prazo de correção até 17/11/2021 para agências federais dos EUA).

Existem PoC pública e módulo Metasploit documentados para esta CVE, o que baixa a barreira de reprodução para quem já tem um vetor de entrega (download disfarçado, engenharia social, site comprometido). O EPSS relativamente alto (≈0.69) reflete justamente essa combinação de exploração confirmada + ferramental disponível.

A correção definitiva é atualizar para macOS Big Sur 11.3 ou aplicar Security Update 2021-002 Catalina, ambos lançados em 26/04/2021. As fontes consultadas não mencionam backport para macOS Mojave ou versões anteriores — se o ambiente roda uma versão mais antiga, não há confirmação de patch disponível para essa falha específica, e a atualização de sistema operacional é o único caminho documentado.

Como Gatekeeper é um controle nativo do sistema, não existe uma flag de configuração ou WAF que restaure a proteção quebrada por esta CVE; desabilitar o Gatekeeper (ex.: via spctl) não é mitigação, é piorar a exposição. Controles compensatórios reais para quem não pode atualizar imediatamente: bloqueio de execução de binários não assinados/não notarizados via MDM ou allow-listing de aplicações, restrição de download/execução a partir de fontes não confiáveis, e monitoramento de endpoint para padrões de entrega associados a droppers de adware/trojan macOS que dependem de bypass de Gatekeeper.

Mito a descartar: manter o Gatekeeper 'ativado' nas Preferências do Sistema não garante proteção contra esta falha — o problema está na lógica interna de quando a checagem é disparada, não em o usuário ter desativado a funcionalidade.

Não há assinatura de log única e confiável publicada para esta CVE nas fontes consultadas. Indicadores indiretos a procurar: execução de aplicações sem o prompt esperado de 'desenvolvedor não identificado' em hosts ainda não corrigidos, ausência de eventos correspondentes do syspolicyd/Gatekeeper (subsistema com.apple.syspolicy no log unificado) no momento do primeiro lançamento de um app baixado, e correlação com indicadores de comprometimento de famílias de adware/dropper macOS que historicamente abusam de bypasses de Gatekeeper para rodar payloads sem assinatura válida.

Como a exploração depende de engenharia social para fazer a vítima baixar e abrir o arquivo, sinais de rede/e-mail relacionados à entrega (domínios de download suspeitos, instaladores falsos de software popular) são tão relevantes quanto telemetria de endpoint — mas nenhum desses sinais é exclusivo desta CVE específica.