CVE-2023-32435

Falha de corrupção de memória no motor WebKit que permite execução arbitrária de código ao processar conteúdo web malicioso — afeta Safari, e qualquer app iOS/iPadOS/macOS que renderize HTML via WebKit (inclusive webviews embutidas). A Apple confirma exploração ativa contra versões de iOS anteriores à 15.7, o que a colocou no catálogo KEV da CISA; CVSS 8.8 mas exige interação do usuário (abrir ou visualizar o conteúdo).

O bug reside no WebKit (WebKit Bugzilla #251890) e é descrito pela Apple como 'memory corruption issue... addressed with improved state management'. A formulação 'state management' é o termo que a Apple costuma usar para bugs de ciclo de vida de objeto — tipicamente use-after-free ou inconsistência de estado entre componentes do motor de renderização — em vez de um simples overflow de buffer. A Apple não detalha o subsistema exato do WebKit (parser de HTML/CSS/JS, engine de layout, JIT) nem publicou write-up técnico próprio; a atribuição é da equipe da Kaspersky (Kucherin, Bezvershenko, Larin, e posteriormente Pashkov), que também é creditada por CVE-2023-32434, uma falha de integer overflow no kernel corrigida no mesmo ciclo de atualização e também marcada como explorada ativamente.

O atacante controla o conteúdo web processado pelo WebKit — HTML, CSS, JavaScript ou recursos embutidos entregues via página, e-mail em HTML, ou qualquer superfície que invoque o motor de renderização. A corrupção de memória concedida por essa falha de state management é usada como primitivo de execução dentro do processo de conteúdo do WebKit; para virar controle total do dispositivo normalmente precisa ser encadeada com um bug de escape de sandbox/kernel, papel que CVE-2023-32434 (corrigida junto) provavelmente desempenhou nas explorações observadas contra iOS antigo.

Não há CWE oficial atribuído pela Apple; dado o padrão de linguagem e o histórico de bugs semelhantes no WebKit, o mais provável é CWE-416 (Use After Free) ou CWE-787 (Out-of-Bounds Write), mas isso é inferência baseada em padrão, não confirmação do fornecedor.

Vetor de rede: o atacante hospeda ou injeta conteúdo web malicioso e precisa que a vítima o processe através do WebKit — visitar um site, abrir um link, ou qualquer app que renderize conteúdo remoto via WebKit. O vetor CVSS marca UI:R (interação do usuário necessária) e AC:L (baixa complexidade de exploração uma vez que o conteúdo é processado), sem necessidade de privilégios prévios (PR:N).

A Apple declara conhecer 'um relato' de exploração ativa contra versões de iOS lançadas antes da 15.7 — ou seja, contra dispositivos com firmware desatualizado, não necessariamente contra a versão então mais recente. A descoberta pela equipe da Kaspersky, junto com o bug de kernel companheiro (CVE-2023-32434) corrigido na mesma leva, sugere uso em cadeia de exploração sofisticada visando alvos específicos, não exploração em massa. Não há PoC público nem exploit de commodity conhecido; a entrada no catálogo KEV da CISA reflete exploração confirmada, não disponibilidade de exploit trivial.

Resultado da exploração: execução arbitrária de código no contexto do processo de renderização web (sandboxed). Escalonamento para controle total do dispositivo depende de bugs adicionais de escape — sem eles, o impacto fica limitado ao processo WebKit.

Atualizar para as versões corrigidas é a única mitigação real: macOS Ventura 13.3, Safari 16.4 (para macOS Big Sur e Monterey), iOS 16.4/iPadOS 16.4, e — crucial para dispositivos antigos incompatíveis com iOS 16 — iOS 15.7.7/iPadOS 15.7.7, que trouxe o backport para hardware mais antigo (iPhone 6s, iPhone 7, iPhone SE 1ª geração, iPad Air 2, iPad mini 4ª geração, iPod touch 7ª geração).

Não existe flag de configuração, WAF ou controle compensatório que neutralize esta falha: ela está no motor de renderização do cliente, não em um servidor exposto. Desabilitar JavaScript ou usar bloqueadores de conteúdo reduz superfície de ataque mas não elimina o risco, já que a falha está em 'state management' geral do WebKit, potencialmente acionável por HTML/CSS sem depender só de JS. Isolamento de rede ou EDR no dispositivo não impede a exploração inicial, apenas pode detectar pós-exploração.

Para dispositivos que não recebem mais nenhuma atualização (hardware fora do suporte, anterior ao que HT213811 cobre), não há mitigação técnica disponível além de restringir o uso do navegador embutido ou substituir o dispositivo — é um cenário de risco residual permanente.

Não há assinatura de rede ou de log confiável e publicamente conhecida para esta falha: a exploração ocorre inteiramente no processo de renderização do WebKit no dispositivo cliente, sem padrão de tráfego distintivo documentado pela Apple ou pelos pesquisadores da Kaspersky nas fontes disponíveis. Em ambientes gerenciados (MDM), o sinal prático é indireto — verificar a versão de build de iOS/iPadOS/macOS/Safari instalada contra as versões corrigidas; qualquer dispositivo abaixo de iOS 15.7.7/16.4, iPadOS equivalente, macOS Ventura 13.3 ou Safari 16.4 deve ser tratado como potencialmente exposto, especialmente se usado por indivíduos que possam ser alvo de vigilância direcionada, dado o padrão de exploração restrita relatado.