CVE-2023-41992

Falha de escalonamento de privilégios local no Kernel do iOS, iPadOS e macOS, corrigida em setembro de 2023 junto com CVE-2023-41991 (bypass de assinatura). A Apple confirma exploração ativa contra versões de iOS anteriores à 16.7 — foi reportada pelo Citizen Lab e pelo Google TAG, contexto típico de campanhas de spyware mercenário contra alvos específicos, não de exploração massiva.

A vulnerabilidade está no componente Kernel do sistema operacional. A Apple descreve apenas que 'o problema foi corrigido com verificações aprimoradas' ('improved checks'), sem detalhar o tipo de falha de memória ou lógica subjacente — não há CWE atribuído publicamente pelo fornecedor nem detalhamento técnico de causa raiz (use-after-free, out-of-bounds, race condition etc.) divulgado nas notas de segurança.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) indica que o ataque requer acesso local e privilégios baixos já estabelecidos no dispositivo (PR:L), sem necessidade de interação do usuário, com impacto total em confidencialidade, integridade e disponibilidade — coerente com uma escalada de privilégios de contexto de app/usuário para kernel.

A descoberta é atribuída a Bill Marczak (Citizen Lab, Munk School, Universidade de Toronto) e Maddie Stone (Google Threat Analysis Group), equipes que rotineiramente investigam campanhas de spyware comercial contra jornalistas, ativistas e dissidentes. Esse padrão de autoria — junto com o par CVE-2023-41991 corrigido no mesmo dia — é forte indício de que a falha foi encontrada durante investigação forense de um comprometimento real, não por fuzzing genérico.

Por ser uma falha de escalonamento de privilégios local (não remota), o exploit não compromete o dispositivo por si só: ele é usado como elo de uma cadeia, tipicamente após um vetor de entrada inicial (ex.: exploração de navegador/WebKit ou anexo malicioso) que já dá execução de código em contexto de app sandboxed. A partir desse ponto, o CVE-2023-41992 permite escapar do sandbox e obter privilégios de kernel.

A Apple confirma que há relato de exploração ativa contra versões de iOS anteriores à 16.7, e a CISA incluiu a falha no catálogo KEV, exigindo remediação por agências federais americanas dentro do prazo padrão do catálogo. O padrão de descoberta (Citizen Lab + Google TAG) associa a exploração a campanhas de vigilância direcionada com spyware de nível comercial/estatal, contra alvos específicos — não há indício de exploração oportunista em massa.

Existe PoC pública catalogada, mas ela documenta o mecanismo pós-divulgação; não há detalhes de exploração ativa original publicados pela Apple, Citizen Lab ou Google TAG além da confirmação de que ocorreu contra iOS pré-16.7.

Atualizar para iOS 16.7 ou iPadOS 16.7 (ou versões posteriores), macOS Ventura 13.6 ou macOS Monterey 12.7 elimina a falha. Dispositivos rodando macOS Big Sur ou versões mais antigas de macOS não têm patch listado nesses três boletins — verificar se o ramo específico recebeu atualização equivalente antes de considerar mitigado.

Não há paliativo de configuração ou controle compensatório documentado pela Apple para quem não pode atualizar: a falha está no kernel e não existe flag, entitlement ou hardening de sandbox que neutralize a escalada de privilégios sem o patch. Como pré-requisito é acesso local já obtido, reduzir a superfície de exposição do vetor de entrada inicial (navegador, mensageria, anexos) diminui o risco prático, mas não corrige a vulnerabilidade em si.

Dado o histórico de uso em campanhas de spyware direcionado, dispositivos de indivíduos em categoria de alto risco (jornalistas, ativistas, diplomatas, dissidentes) devem priorizar a atualização imediata e considerar o Modo de Bloqueio (Lockdown Mode) da Apple como camada adicional, embora este não seja uma mitigação específica para o CVE e sim uma redução geral de superfície de ataque.

Não há assinatura de log ou tráfego de rede confiável documentada publicamente pela Apple, Citizen Lab ou Google TAG para detectar tentativas de exploração desta CVE especificamente — exploits de kernel local geralmente não deixam rastro de rede e a exploração original foi identificada via análise forense de dispositivo comprometido (extração de artefatos do sistema de arquivos e memória), não por assinatura genérica.

Em ambientes com suspeita de comprometimento por spyware direcionado, a via prática é análise forense do dispositivo (sysdiagnose, backups criptografados analisados por ferramentas como o MVT do próprio Citizen Lab) em busca de indicadores de comprometimento associados às campanhas documentadas, não detecção em tempo real da exploração desta CVE isolada.