CVE-2024-23222

Falha de type confusion no motor WebKit (mecanismo de renderização usado por Safari e por todos os apps que abrem conteúdo web em iOS/iPadOS) que permite execução arbitrária de código ao processar uma página maliciosa. A Apple confirmou exploração ativa antes da correção — é a vulnerabilidade associada ao exploit conhecido como 'Coruna' — e está no catálogo KEV da CISA, o que indica uso real em campanhas, não apenas risco teórico.

O bug é um type confusion (CWE-843) no WebKit, catalogado internamente como WebKit Bugzilla 267134. Esse tipo de falha ocorre quando o motor de JavaScript/DOM trata um objeto de um tipo como se fosse de outro tipo — normalmente em código de otimização do JIT ou em manipulação de objetos DOM/JS onde o engine assume um layout de memória que não corresponde ao objeto real alocado. O resultado é acesso ou escrita fora dos limites esperados da estrutura, que um atacante pode transformar em corrupção de memória controlada e, a partir daí, em execução de código no contexto do processo de renderização.

A Apple não publicou detalhes de engenharia reversa do bug (como é padrão nos advisories da empresa), apenas a descrição genérica 'type confusion issue was addressed with improved checks'. Não há CWE oficial no advisory da Apple, mas o padrão de 'type confusion' mapeia diretamente para CWE-843.

O vetor de entrada é conteúdo web: HTML/CSS/JavaScript malicioso processado pelo WebKit. O atacante controla o conteúdo da página (ou de qualquer superfície que renderize HTML via WebKit, como visualizações in-app, PDFs com JS embutido processados via WebKit, ou mensagens/anexos que abrem preview web), e por meio dele pode manipular a estrutura de objetos JS/DOM até acionar a confusão de tipos.

O vetor prático é o usuário visitar uma página web maliciosa ou renderizar conteúdo malicioso embutido (ex.: anúncio, link em app com WebView) — daí o requisito de User Interaction (UI:R) no vetor CVSS. Não exige autenticação nem configuração não padrão: qualquer dispositivo com WebKit vulnerável exposto à internet está no escopo, o que explica o CVSS alto (8.8) e a inclusão imediata no KEV da CISA.

A Apple associou a correção ao exploit apelidado 'Coruna', indicando que o bug foi usado em cadeia de exploração real antes do patch — típico de campanhas de spyware/vigilância direcionada que combinam falhas de WebKit com escapes de sandbox e elevação de privilégio para comprometimento completo do dispositivo via clique em um link ou simples carregamento de página. A Apple confirmou 'aware of a report that this issue may have been exploited' nos advisories, mas não divulgou atribuição, alvos ou volume da campanha.

O resultado final da exploração, isolada, é execução de código arbitrário dentro do processo de renderização web (sandboxed no caso do Safari/WebKit em iOS). Para controle total do dispositivo normalmente é necessária uma segunda falha de escape de sandbox — informação relevante para quem avalia o impacto real: a CVE por si só compromete o processo de conteúdo web, não automaticamente o sistema inteiro.

A correção definitiva é atualizar para as versões que a Apple listou: Safari 17.3, iOS 15.8.7/iPadOS 15.8.7, iOS 16.7.5/iPadOS 16.7.5, iOS 17.3/iPadOS 17.3, macOS Monterey 12.7.3, macOS Sonoma 14.3, macOS Ventura 13.6.4, tvOS 17.3, visionOS 1.0.2. A correção foi originalmente lançada no iOS 17.3 em 22 de janeiro de 2024, e os patches para 15.8.7 e 16.7.5 existem especificamente para trazer o fix a dispositivos que não suportam a versão mais recente do iOS — ou seja, dispositivos antigos não ficam sem correção só porque não recebem o major mais novo.

Distribuições Linux que embutem WebKitGTK (navegadores baseados em GTK, alguns clientes de e-mail e leitores de RSS) precisam da correção no próprio WebKitGTK — a Fedora corrigiu na versão 2.42.5. Quem mantém sistemas com WebKitGTK deve verificar se a distro backportou o fix, não basta olhar a versão do iOS/macOS.

Não há paliativo funcional real: desativar JavaScript no Safari mitiga parcialmente mas quebra a usabilidade da maioria dos sites e não é garantia contra todas as variantes de type confusion em DOM. Não existe flag de configuração ou WAF que proteja o cliente contra esse tipo de falha — a única mitigação efetiva é a atualização do sistema operacional/navegador.

Não há assinatura de rede ou log confiável e publicamente conhecida para detectar tentativas de exploração dessa falha — o vetor é conteúdo web renderizado no cliente, e a corrupção de memória ocorre dentro do processo de renderização sem gerar evidência de rede diferenciável de tráfego HTTP/HTTPS normal. A Apple não publicou indicadores de comprometimento associados à campanha 'Coruna'. Em ambientes com telemetria endpoint (EDR mobile/desktop), crashes ou reinícios anômalos do processo WebKit/Safari (WebContent process) em dispositivos não atualizados podem ser um sinal indireto, mas não é diagnóstico específico dessa CVE.