CVE-2021-30807

Falha de corrupção de memória no driver de kernel IOMobileFrameBuffer, presente em macOS Big Sur, iOS/iPadOS e watchOS, que permite a um aplicativo local escalar para execução de código com privilégios de kernel. A Apple confirmou exploração ativa antes da correção e a CVE está no catálogo KEV da CISA; o CVSS 7.8 já reflete que é uma falha local (não remota), mas o risco real é alto porque costuma ser encadeada com um vetor de entrada inicial (ex.: exploit de navegador ou anexo malicioso) para dar controle total do dispositivo.

A vulnerabilidade está no IOMobileFrameBuffer, driver de kernel do IOKit responsável por gerenciar o framebuffer de exibição em macOS, iOS, iPadOS e watchOS. A CISA classifica a falha como CWE-787 (out-of-bounds write / escrita fora dos limites), padrão recorrente nesse driver, que já teve múltiplas CVEs de corrupção de memória em anos anteriores por expor superfícies de IOKit acessíveis via chamadas de I/O (IOConnectCallMethod) que aceitam parâmetros controlados pelo processo chamador sem validação suficiente de tamanho ou índice.

A Apple descreve genericamente como 'memory corruption issue... addressed with improved memory handling', sem detalhar a rotina exata ou o tipo de estrutura corrompida. Não há write-up técnico independente detalhado nas fontes consultadas que descreva o código vulnerável linha a linha; o que se sabe com certeza é o componente (IOMobileFrameBuffer) e a classe de bug (escrita fora de limites em contexto de kernel).

O atacante controla os parâmetros passados por um processo em user space a uma chamada externa do driver IOMobileFrameBuffer. Ao manipular esses parâmetros, é possível escrever fora dos limites de uma estrutura de kernel, corrompendo memória adjacente e abrindo caminho para escalonamento de privilégios de usuário comum para privilégios de kernel (ring 0 no contexto XNU).

O vetor é local (AV:L): a exploração exige que uma aplicação maliciosa já esteja em execução no dispositivo, com interação do usuário (UI:R) para essa aplicação ser instalada/executada — não há exploração puramente remota por rede. Não são necessários privilégios elevados previamente (PR:N), pois o próprio driver de IOMobileFrameBuffer é acessível a processos sandboxed em muitos cenários, o que é justamente o que torna a falha valiosa como elo de uma cadeia de exploração: um invasor normalmente usa outro bug (navegador, PDF, iMessage, app malicioso) para conseguir execução de código inicial no dispositivo e então usa esta CVE para escapar de sandbox e obter privilégios de kernel completos.

A Apple declarou estar ciente de relatos de exploração ativa antes da correção, e a CISA incluiu a falha no catálogo KEV com prazo de mitigação de 2021-11-17, confirmando exploração real observada (não apenas teórica). Há PoC pública disponível, o que reduz a barreira para reprodução por pesquisadores e, potencialmente, por atores menos sofisticados, embora o histórico de exploração real esteja associado a campanhas direcionadas (uso típico de exploits de IOMobileFrameBuffer em ferramentas de spyware/jailbreak que encadeiam múltiplas CVEs de 0-day).

O resultado final da exploração é execução de código arbitrário com privilégios de kernel — controle total do sistema, incluindo acesso a dados protegidos por sandbox, persistência e desativação de proteções do SO.

A correção oficial é atualizar para macOS Big Sur 11.5.1, iOS 14.7.1, iPadOS 14.7.1 ou watchOS 7.6.1 ou versões posteriores. Não há flag de configuração, mitigação por WAF ou controle compensatório documentado pela Apple para esta falha — trata-se de bug de kernel em driver de hardware/gráfico, sem superfície de rede exposta que permita bloqueio por firewall ou proxy.

Como pré-requisito de exploração é execução local de código, a única mitigação prática além do patch é reduzir a superfície de ataque inicial: manter navegador, apps de mensagens e demais componentes atualizados, evitar instalação de aplicativos de fontes não confiáveis e, em dispositivos de alto risco (jornalistas, ativistas, executivos), usar o Modo de Isolamento (Lockdown Mode) da Apple quando disponível — embora essa função tenha sido introduzida em versões posteriores ao patch desta CVE, ela reduz o risco de cadeias de exploração que dependem de vetores de entrada como iMessage e Safari.

Não funciona como mitigação: desativar apenas funcionalidades de câmera/tela pensando em neutralizar o driver de framebuffer — o IOMobileFrameBuffer é usado internamente pelo sistema mesmo sem uso ativo de câmera, e não há como desabilitá-lo seletivamente sem quebrar a interface gráfica do dispositivo.

Não há assinatura de rede ou log de aplicação documentada pela Apple ou pela CISA para detectar tentativas de exploração desta falha — trata-se de corrupção de memória em driver de kernel local, sem tráfego de rede associado diretamente ao exploit. Indicadores indiretos de comprometimento pós-exploração (crashes recorrentes do processo relacionado a framebuffer/WindowServer, artefatos de jailbreak não autorizado, ou presença de ferramentas forenses como o Mobile Verification Toolkit em investigações de spyware) podem sugerir uso desta ou de vulnerabilidades similares de kernel, mas não constituem detecção confiável e específica para o CVE-2021-30807.