CVE-2025-24200

Falha de autorização no gerenciamento de estado do USB Restricted Mode do iOS/iPadOS que permite, a quem tem acesso físico a um iPhone ou iPad bloqueado, desabilitar essa proteção e reabrir a porta USB para extração de dados ou ataques de força bruta contra a senha. Não é uma falha remota: exige o aparelho em mãos, mas foi usada — segundo a Apple — em ataques forenses "extremamente sofisticados" contra alvos específicos, o que a colocou no catálogo KEV da CISA mesmo com CVSS moderado (6.1).

USB Restricted Mode é o mecanismo que a Apple introduziu para bloquear a interface de dados USB (Lightning/USB-C) depois que o dispositivo passa um tempo sem ser desbloqueado, justamente para impedir que ferramentas forenses (GrayKey, Cellebrite e similares) usem a porta física para tentar extrair dados ou forçar o passcode. A CVE-2025-24200 é descrita pela Apple como um 'authorization issue' resolvido com 'improved state management' — ou seja, o código que decide se o modo restrito está ativo ou não tinha uma condição de estado que podia ser manipulada, deixando a porta USB acessível mesmo com a tela bloqueada.

O vetor exige acesso físico ao dispositivo travado — não há componente de rede, autenticação remota ou interação do usuário (AC:L, PR:N, UI:N no CVSS, mas AV:P é a peça central: proximidade física obrigatória). Na prática, o cenário descrito pela Apple e por Bill Marczak, do Citizen Lab, é de ataque forense: alguém com o aparelho em mãos usa um acessório ou ferramenta USB para explorar a falha de estado e reabrir a interface de dados que deveria estar bloqueada, abrindo caminho para extração de dados ou tentativa de bypass de senha por hardware especializado. A Apple classifica o caso como 'extremamente sofisticado' e direcionado a 'indivíduos específicos' — linguagem que a empresa reserva para campanhas de spyware mercenário, não para exploração em massa. A presença no catálogo KEV confirma exploração real, mas não há relato de uso oportunista ou automatizado contra a população em geral.

A correção definitiva é atualizar para as versões corrigidas: iOS/iPadOS 15.8.4, iOS/iPadOS 16.7.11, iPadOS 17.7.5 ou iOS/iPadOS 18.3.1, dependendo do modelo do dispositivo (os ramos antigos existem porque a Apple ainda dá suporte de segurança a hardware que não roda o iOS 18). Não há configuração ou flag alternativa publicada pela Apple que mitigue essa falha especificamente sem atualizar — o problema está no gerenciamento de estado interno do modo restrito, não em uma opção que o usuário controla.

Não há assinatura de rede ou log de sistema conhecido e publicado que indique tentativa de exploração dessa falha — o ataque é físico e local à porta USB, fora do alcance de monitoramento de SOC tradicional. O único indicador prático citado por pesquisadores (Citizen Lab) é o padrão mais amplo de comprometimento associado a spyware forense/mercenário, verificável com ferramentas de análise forense de dispositivos móveis voltadas a detectar indícios de comprometimento pós-fato, não a exploração em si.