CVE-2024-44308

Falha de memória no JavaScriptCore, o motor de execução JavaScript do WebKit, que permite execução arbitrária de código ao processar conteúdo web malicioso. Afeta Safari, iOS/iPadOS, macOS Sequoia e visionOS. A Apple confirmou exploração ativa em Macs baseados em Intel antes da correção, e a CVE está no catálogo KEV da CISA — não é um CVSS alto teórico, é um bug usado em campanha real.

O bug está no componente JavaScriptCore, catalogado internamente como WebKit Bugzilla 283063. A Apple descreve a correção apenas como 'improved checks' — linguagem padrão do fornecedor que não revela o tipo exato de falha de memória (não há CWE oficial divulgado). Falhas em JavaScriptCore historicamente envolvem confusão de tipo, uso-após-liberação ou corrupção de heap no JIT/interpretador ao processar objetos JS malformados, mas a Apple não confirmou qual mecanismo específico se aplica aqui — trate essa atribuição como contexto de categoria, não como fato apurado.

O atacante controla o conteúdo JavaScript/HTML servido à vítima. Como o componente vulnerável é o motor de execução de script, qualquer superfície que renderize conteúdo web arbitrário usando WebKit — Safari, WebViews de apps de terceiros, e o próprio motor em iOS/iPadOS/macOS/visionOS — está potencialmente exposta, independente da UI do navegador.

A CVE-2024-44309, corrigida no mesmo conjunto de patches e reportada pela mesma dupla de pesquisadores (Clément Lecigne e Benoît Sevens, Google Threat Analysis Group), é um problema de gerenciamento de cookies/estado que permite XSS e foi descrita com o mesmo aviso de exploração ativa em Macs Intel. A coincidência de descobridores, data de correção e texto de exploração sugere que as duas falhas foram usadas em conjunto na mesma campanha, embora a Apple não afirme isso explicitamente.

O vetor é conteúdo web malicioso: a vítima precisa carregar uma página, anúncio ou recurso controlado pelo atacante em um motor WebKit vulnerável (Safari ou qualquer app que use WebKit para renderizar HTML/JS). O CVSS 3.1 (AV:N/AC:L/PR:N/UI:R) reflete isso — sem autenticação, mas com interação do usuário obrigatória (abrir o link ou visitar a página).

O envolvimento do Google Threat Analysis Group como descobridor é um sinal relevante: esse grupo tipicamente rastreia campanhas de spyware comercial e ataques direcionados de estado-nação, não pesquisa de bug bounty genérica. Isso é consistente com o padrão 'watering hole' ou entrega de link único para um alvo específico, em vez de exploração massiva e indiscriminada.

A Apple afirma que a exploração ativa observada foi especificamente em Macs baseados em Intel — não confirma exploração em Apple Silicon, iOS ou iPadOS, mesmo que o código vulnerável exista nessas plataformas também. Isso pode refletir uma limitação do exploit conhecido (ex.: dependente de layout de memória ou técnica de bypass específica de arquitetura Intel) e não necessariamente ausência de risco nas demais plataformas.

Atualizar é a única mitigação real: Safari 18.1.1, iOS 17.7.2/iPadOS 17.7.2 (linha antiga), iOS 18.1.1/iPadOS 18.1.1 (linha atual), macOS Sequoia 15.1.1, visionOS 2.1.1. Para distribuições Linux que empacotam WebKitGTK (usado por navegadores baseados em GTK e WebViews em ambientes Debian/derivados), a correção está no webkit2gtk 2.46.4, com backport LTS confirmado em 2.46.4-1~deb11u1 para Debian 11 bullseye.

Não há paliativo funcional de configuração para este bug: é uma falha de processamento de conteúdo dentro do motor de execução de JavaScript, não uma feature que se desative sem quebrar a navegação. Desativar JavaScript reduziria a superfície, mas inviabiliza a maioria dos sites e não é uma mitigação suportada ou recomendada para uso normal — trate como paliativo extremo apenas em cenários de altíssimo risco, sabendo o custo funcional.

Manter versões antigas de macOS/iOS por compatibilidade de hardware não é mitigação: dado o registro no catálogo KEV, a CISA exige remediação dentro de prazo para agências federais dos EUA; para qualquer ambiente corporativo, isso deve ser tratado como prioridade de patch imediata, não como item de próximo ciclo.

Não há assinatura de rede ou log confiável e público para detectar exploração deste bug especificamente — a exploração ocorre client-side, dentro do processo de renderização web, via conteúdo JS malicioso entregue por página ou link. Indicadores prováveis, mas não confirmados pelas fontes disponíveis, seriam crashes ou reinícios anômalos do processo WebContent/JavaScriptCore no Console.app (macOS) ou logs de crash do sistema, e comportamento pós-exploração incomum (processos filhos inesperados gerados pelo Safari/WebKit) capturado por EDR. Como o descobridor é o Google TAG, é provável que exista telemetria de campanha associada a domínios ou payloads específicos, mas essa informação não estava disponível nas fontes consultadas.