CVE-2020-27930

Falha de corrupção de memória no FontParser da Apple, componente que decodifica fontes embutidas em documentos, páginas web e mensagens. Processar uma fonte malformada pode levar a execução arbitrária de código no contexto do processo que a interpretou. A Apple confirmou exploração ativa antes da correção, e a falha foi descoberta e reportada pelo Google Project Zero — não é uma vulnerabilidade teórica, foi usada em ataques reais.

O bug está no FontParser, o componente do sistema responsável por interpretar arquivos de fonte (usado por CoreText, WebKit, visualização de documentos e outros consumidores de conteúdo tipográfico). A Apple descreve a causa como 'memory corruption issue... addressed with improved input validation' — linguagem que indica um parser aceitando estrutura de fonte malformada sem validar limites internos corretamente, resultando em escrita ou leitura fora dos limites do buffer alocado (padrão típico de CWE-787/CWE-119 em parsers binários). A Apple não publicou detalhes de qual campo da estrutura de fonte é o gatilho nem qual tabela do formato é afetada.

O atacante controla o conteúdo do arquivo de fonte entregue à vítima — seja embutido em um documento, em uma página web renderizada pelo WebKit, ou em outro tipo de conteúdo que aciona o parsing de fontes no sistema. Como o FontParser roda fora do contexto de rede direta, o CVSS classifica o vetor de ataque como Local (AV:L): a exploração depende de o conteúdo malicioso já ter chegado ao dispositivo e ser processado, não de uma conexão de rede direta ao serviço vulnerável. UI:R no vetor reflete a necessidade de alguma interação do usuário — abrir o documento, visitar a página ou receber a mensagem contendo a fonte.

O CVE-2020-27930 foi divulgado junto com um lote de outras correções de fontes/áudio/imagem no mesmo ciclo de patches (novembro/dezembro de 2020), mas se distingue das demais por ser uma das únicas nesse lote que a Apple marcou explicitamente como explorada in the wild antes da correção — junto com CVE-2020-27932 (type confusion no kernel) e CVE-2020-27950 (disclosure de memória do kernel), também atribuídas ao Google Project Zero nos mesmos advisories.

A exploração requer que a vítima processe um arquivo de fonte malicioso — via visualização de documento, renderização web (WebKit) ou outro caminho que aciona o FontParser. Não há evidência nas fontes analisadas de que a falha seja explorável sem qualquer interação do usuário; o vetor CVSS local com UI:R confirma essa dependência. A Apple não detalhou publicamente o vetor de entrega usado nos ataques observados, mas o padrão histórico de bugs de FontParser explorados in the wild na mesma época é entrega via conteúdo web ou mensagens, consistente com a referência a 'Apple Safari Remote Code Execution' catalogada para esta CVE.

A Apple declara apenas que 'está ciente de relatos de que existe um exploit para este problema em uso' — frase padrão que confirma exploração ativa sem detalhar o alvo (jornalistas, dissidentes, campanhas específicas) nem a cadeia completa de exploração. Corrupção de memória em parser de fonte tipicamente serve como primitivo inicial de execução de código dentro do processo que processa o conteúdo (por exemplo, o processo renderizador do WebKit ou o processo de visualização de documentos), exigindo em geral um passo adicional (escalonamento de privilégio ou escape de sandbox) para controle total do dispositivo — passo que, no mesmo ciclo de correções, foi coberto por outras CVEs de kernel também creditadas ao Project Zero.

O caso está no catálogo KEV da CISA, confirmando exploração documentada e existência de PoC pública, o que eleva a prioridade de correção para qualquer inventário com dispositivos ainda no firmware vulnerável, independentemente do CVSS moderado (7.8).

A mitigação é atualizar para as versões corrigidas listadas pela Apple: não há flag de configuração, WAF ou controle compensatório que neutralize um bug de parsing de fonte no sistema operacional — o único remédio real é a atualização do SO/firmware. Dispositivos que não podem receber as versões corrigidas (hardware fora do ciclo de suporte) permanecem expostos indefinidamente; a única mitigação prática nesse caso é reduzir a superfície de exposição a conteúdo não confiável (evitar abrir documentos e navegar em sites não confiáveis nesses dispositivos), o que reduz mas não elimina o risco.

Não existe mitigação de rede eficaz porque o processamento ocorre localmente, no dispositivo da vítima, após a entrega do conteúdo — bloquear tráfego não impede o parsing se o arquivo já chegou por outro canal (anexo, mensagem, mídia removível).

Não há assinatura de rede confiável, já que a exploração ocorre no processamento local do arquivo de fonte, não em tráfego identificável por padrão fixo. Em nível de host, procurar por crashes ou encerramentos anômalos de processos que processam conteúdo de fonte (WebKit/Safari, visualizador de documentos, Mail) em torno do período de entrega de conteúdo suspeito, e por artefatos de fontes malformadas em anexos, downloads ou cache de navegador recebidos de origens não confiáveis. A ausência de detalhes técnicos publicados pela Apple sobre o campo exato da estrutura de fonte exploitado limita a criação de assinaturas específicas para EDR ou IDS.