CVE-2023-41991

Falha de validação de certificado no componente Security do iOS/iPadOS e macOS Ventura que permite a um app malicioso já instalado no dispositivo burlar a verificação de assinatura de código. Não é uma falha de acesso remoto: o CVSS 5.5 com AV:L reflete que o pré-requisito é execução local de código não confiável, mas o valor real da CVE está em ter sido usada como elo de uma cadeia de exploração real contra jornalistas e dissidentes, reportada pelo Citizen Lab e pelo Google TAG.

A falha (CWE-295, validação inadequada de certificado) está no componente que a Apple identifica apenas como "Security" nos boletins HT213927 e HT213931. A descrição oficial não detalha qual biblioteca ou qual etapa da cadeia de validação de certificado falha — apenas que um "certificate validation issue was addressed". O impacto declarado é que um app malicioso pode contornar a validação de assinatura (signature validation bypass), o que sugere que a checagem quebrada não é a validação de TLS/rede, mas parte do processo de verificação de assinatura de código que se apoia em certificados X.509 (code signing) do sistema.

O vetor CVSS (AV:L/AC:L/PR:N/UI:R/C:N/I:H/A:N) indica que o atacante precisa de execução local — ou seja, já ter conseguido rodar código ou instalar um app no dispositivo — e depende de alguma interação do usuário. O impacto de integridade é alto (I:H) porque a falha permite que código não assinado, ou assinado incorretamente, seja tratado como confiável pelo sistema, sem impacto direto em confidencialidade ou disponibilidade.

A Apple não publicou write-up técnico detalhando o bug em si. O crédito da descoberta — Bill Marczak (Citizen Lab, Munk School, Universidade de Toronto) e Maddie Stone (Google Threat Analysis Group) — é o mesmo crédito do CVE-2023-41992 (elevação de privilégio no kernel), corrigido no mesmo boletim. Isso indica que as duas falhas foram descobertas e reportadas juntas, como parte da análise de um único incidente de exploração, não como bugs isolados encontrados em auditoria independente.

A descrição oficial da Apple afirma apenas que "Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 16.7" — não confirma quem explorou, como, nem contra quem, e não fornece PoC. O bug, isolado, não é uma porta de entrada: ele pressupõe que o atacante já tenha conseguido executar um app ou payload não confiável no dispositivo (AV:L), normalmente como resultado de uma etapa anterior de exploração remota (ex.: execução de código via navegador ou parser de mídia). Bypass de validação de assinatura nesse contexto serve para dar persistência ou elevar a confiança de um binário malicioso frente às checagens de code signing do sistema, e não para obter acesso inicial.

O crédito compartilhado com CVE-2023-41992 (kernel privilege escalation, mesmo boletim, mesmos pesquisadores) é o dado mais relevante para entender o uso real: essas descobertas do Citizen Lab e do Google TAG em setembro de 2023 estão associadas publicamente à investigação de campanhas de spyware comercial contra jornalistas, ativistas e políticos — o padrão típico de exploração em cadeia (remote code execution inicial + escalonamento local + bypass de assinatura) usado por fornecedores de spyware para instalar implantes persistentes sem interação visível do usuário.

O CVE está no catálogo KEV da CISA, confirmando exploração ativa documentada antes da correção, e existe PoC pública catalogada — mas a Apple nunca divulgou os detalhes técnicos do exploit, e não há relato de campanhas massivas ou oportunistas usando esta falha isoladamente. O risco prático hoje é residual: aplica-se a quem ainda rodava iOS/iPadOS anterior a 16.7 ou macOS Ventura anterior a 13.6 no período da exploração ativa, e a ameaça documentada foi direcionada, não em massa.

A correção é atualizar para iOS 16.7, iPadOS 16.7 ou macOS Ventura 13.6 (ou versões posteriores dessas mesmas linhas). Não há flag de configuração, mitigação por MDM ou controle compensatório que neutralize uma falha de validação de certificado do sistema — o código de checagem está no SO, então a única correção real é o patch da própria Apple.

Para ambientes que não podem atualizar imediatamente (dispositivos legados sem suporte a 16.7, por exemplo modelos anteriores a iPhone 8), a única mitigação prática é reduzir a superfície de exposição: restringir instalação de apps a fontes confiáveis (App Store, sem sideload via perfis de desenvolvedor ou MDM permissivo), e usar Modo de Bloqueio (Lockdown Mode) da Apple para dispositivos de alto risco — isso não corrige o bug, mas reduz a chance de a cadeia de exploração completa (que inclui esta falha como elo intermediário) chegar ao dispositivo.

Não existe mitigação via WAF ou controle de rede, porque a falha não é de rede: é local, dentro do subsistema de segurança do SO. Considerar o dispositivo comprometido apenas por estar desatualizado é exagero para a maioria dos usuários — o risco real documentado foi de exploração direcionada, não oportunista.

A Apple não publicou indicadores de comprometimento nem assinaturas de exploração para esta CVE especificamente. Como o bug exige execução local prévia (AV:L), o sinal mais relevante a procurar não é tráfego de rede, mas artefatos de um app ou perfil instalado fora do App Store com assinatura ou certificado anômalo, e correlação temporal com falhas de code signing registradas em logs do sistema (unifiedlog, entradas relacionadas a code signing/`amfid`). Como a falha é atribuída a uma cadeia usada por spyware direcionado, ausência de sinal não significa ausência de comprometimento — dispositivos de alvos de alto risco (jornalistas, ativistas, diplomatas) que rodavam versões anteriores a 16.7/13.6 no período de exploração ativa merecem inspeção forense dedicada, não apenas checagem de logs padrão.