CVE-2023-28205

Falha use-after-free no motor WebKit (Safari e todos os produtos Apple que usam o mesmo engine para renderizar conteúdo web) permite execução arbitrária de código ao processar uma página maliciosa. A Apple confirmou exploração ativa antes da correção, e a vulnerabilidade foi reportada pelo Google Threat Analysis Group e pela Amnesty International Security Lab — grupos que tipicamente rastreiam campanhas de spyware comercial contra jornalistas e ativistas, não crimeware genérico.

A falha é um use-after-free (CWE-416) no WebKit, catalogada internamente como WebKit Bugzilla 254797. O componente exato do motor de renderização não foi detalhado pela Apple — a descrição oficial se limita a dizer que 'improved memory management' resolveu o problema, sem apontar a classe de objeto ou o caminho de código afetado. Isso é típico dos advisories da Apple: eles confirmam a classe da falha (UAF) e o impacto, mas não publicam detalhes que facilitem a reprodução.

Use-after-free em motores de JavaScript/DOM como o WebKit normalmente ocorre quando um objeto é liberado da memória (por exemplo, via garbage collection, remoção de nó DOM, ou callback assíncrono) enquanto ainda existe uma referência ativa a ele em outro ponto do código, que depois é usada indevidamente. O atacante controla o conteúdo web processado pela vítima — HTML, JavaScript, e recursos que disparam o comportamento de liberação e realocação de memória de forma previsível o suficiente para colocar dados controlados no espaço de memória liberado.

A CVE-2023-28205 foi corrigida no mesmo conjunto de atualizações que a CVE-2023-28206, um out-of-bounds write no IOSurfaceAccelerator com impacto em execução de código com privilégios de kernel, reportado pelos mesmos pesquisadores. O padrão — falha de renderização web seguida de escalada via componente de sistema — é consistente com uma cadeia de exploração completa (sandbox escape), embora a Apple não confirme publicamente que as duas foram exploradas em conjunto.

O vetor é conteúdo web malicioso processado pelo WebKit: uma página, iframe ou qualquer superfície que renderize HTML/JS via Safari ou WebView do sistema. Não há exigência de autenticação nem de configuração não padrão — qualquer usuário que abra uma URL controlada pelo atacante está exposto. A interação do usuário exigida é mínima (o CVSS marca UI:R — ele precisa navegar até a página), o que é consistente com ataques de watering hole ou links enviados diretamente ao alvo.

A Apple declarou ter conhecimento de um relatório de exploração ativa antes da correção, e a CVE está no catálogo KEV da CISA, confirmando exploração em ambiente real. A atribuição do achado ao Google TAG e à Amnesty International Security Lab é o indicador mais forte de contexto: esses grupos historicamente documentam campanhas de spyware mercenário (tipo Pegasus/Predator) contra alvos específicos — jornalistas, dissidentes, diplomatas — e não exploração massiva e indiscriminada. Isso não significa que o exploit não possa ser reaproveitado de forma mais ampla depois de tornado público, apenas que o uso documentado inicialmente foi direcionado.

O resultado final da exploração é execução arbitrária de código dentro do processo do WebKit, que sozinho já compromete dados acessíveis ao navegador; combinado com uma segunda falha de escalonamento (como a CVE-2023-28206 corrigida no mesmo dia), o impacto se estende ao sistema operacional inteiro.

A correção definitiva é atualizar para as versões que a Apple publicou: Safari 16.4.1 (macOS Big Sur e Monterey), iOS/iPadOS 15.7.5, iOS/iPadOS 16.4.1, ou macOS Ventura 13.3.1, dependendo da plataforma. Não existe patch parcial ou flag de configuração documentada pela Apple para mitigar sem atualizar — WebKit não expõe um controle que desative apenas o caminho de código vulnerável.

Como paliativo real na ausência de atualização imediata, a única redução de superfície é limitar a exposição a conteúdo web não confiável: evitar abrir links de origem desconhecida, usar navegação em ambiente isolado/sandboxed quando disponível, ou restringir o uso do Safari/WebKit em dispositivos que não podem ser atualizados a curto prazo. Isso reduz risco, não elimina.

O que não funciona: acreditar que apenas atualizar o Safari resolve em versões antigas de iOS/iPadOS — nesses sistemas o WebKit é parte do SO e a correção depende da atualização do sistema operacional completo (iOS/iPadOS 15.7.5 ou 16.4.1), não de um update isolado do navegador.

Não há assinatura ou indicador de comprometimento público e confiável associado especificamente a esta CVE — os advisories da Apple não publicam detalhes técnicos suficientes para escrever uma regra de detecção precisa, e não há IOC de rede documentado nas fontes oficiais. Times de segurança devem tratar crashes reprodutíveis do WebKit (especialmente com padrão de use-after-free em logs de crash do Safari/WebKit anteriores às versões corrigidas) e endpoints com Safari desatualizado navegando para domínios desconhecidos como sinais indiretos de risco, mas isso não substitui a atualização.