CVE-2024-44309

Falha de gerenciamento de estado de cookies no WebKit que permite XSS ao processar conteúdo web malicioso. Afeta Safari, iOS/iPadOS, macOS Sequoia e visionOS. Apple confirma exploração ativa relatada especificamente em Macs com processador Intel, e a falha está no catálogo KEV da CISA — mas o CVSS moderado (6.3) reflete que o impacto isolado é XSS, não execução de código.

A vulnerabilidade está no WebKit (Bugzilla 283095) e envolve tratamento incorreto de estado de cookies — categoria compatível com CWE-565 (Reliance on Cookies without Validation) ou falha de isolamento de contexto, embora a Apple não detalhe o mecanismo exato além de 'cookie management issue... improved state management'. Na prática, esse tipo de falha permite que conteúdo web malicioso manipule ou reutilize cookies de forma que o motor de renderização perca a separação de origem/estado esperada, abrindo caminho para execução de script no contexto de outro site (cross-site scripting).

A descrição oficial não especifica se a falha exige interação do usuário, mas o vetor CVSS (AV:N/AC:L/PR:N/UI:R) indica que sim — o CVSS aponta UI:R, ou seja, a vítima precisa interagir com conteúdo web malicioso (abrir um link, visitar uma página) para o WebKit processar o payload que dispara o bug de estado.

A CVE-2024-44309 foi descoberta e reportada junto com a CVE-2024-44308 (JavaScriptCore, execução arbitrária de código) pelos mesmos pesquisadores do Google Threat Analysis Group (TAG), Clément Lecigne e Benoît Sevens. Esse padrão — TAG reportando pares de vulnerabilidades WebKit exploradas in-the-wild — é típico de campanhas de spyware/exploração direcionada, onde uma falha de XSS/estado é usada como componente de uma cadeia maior junto com o bug de RCE. Não há confirmação pública de que as duas foram exploradas na mesma cadeia, mas a coincidência de descoberta e o mesmo boletim de segurança tornam isso plausível.

O vetor de ataque é conteúdo web malicioso processado pelo WebKit — ou seja, a vítima precisa acessar uma página (ou renderizar conteúdo HTML/JS) controlada pelo atacante através de Safari ou qualquer app que use WebKit como motor de renderização. Não há indicação de exigência de autenticação ou configuração não padrão; o requisito real é interação do usuário (visitar a página) combinado com acesso de rede do atacante para hospedar o conteúdo.

A Apple afirma que há relato de exploração ativa, mas restringe essa observação a 'sistemas Mac baseados em Intel' — isso sugere que o exploit conhecido tinha checagens de arquitetura/plataforma e não necessariamente funciona (ou foi testado) em Macs Apple Silicon, iOS ou iPadOS, apesar de o código vulnerável existir em todas essas plataformas. Isso é relevante para triagem: o risco documentado de exploração real é mais estreito do que o CVSS e a presença no KEV sugerem à primeira vista.

O impacto final documentado pela Apple é XSS — execução de script no contexto de origem indevida, permitindo roubo de sessão, cookies, ou manipulação de conteúdo de outro site dentro do navegador. Não há PoC público conhecido nem detalhes técnicos de exploração publicados pelos pesquisadores do TAG até o momento desta pesquisa; a divulgação seguiu o padrão Apple de não detalhar mecanismos antes/depois do patch.

Atualizar para as versões corrigidas listadas pela Apple: Safari 18.1.1; iOS 17.7.2 e iPadOS 17.7.2 (dispositivos mais antigos); iOS 18.1.1 e iPadOS 18.1.1; macOS Sequoia 15.1.1; visionOS 2.1.1. Todas foram lançadas em 19 de novembro de 2024. Para distribuições Linux que empacotam WebKitGTK (motor compartilhado), o Debian LTS corrigiu em webkit2gtk 2.46.4-1~deb11u1 para Debian 11 bullseye — outras distros/branches devem verificar suas próprias trackers de segurança para builds equivalentes do WebKitGTK.

Não há paliativo funcional documentado além de atualizar: a falha está no motor de renderização web (WebKit), então desabilitar JavaScript ou cookies de terceiros pode reduzir superfície de ataque genérica, mas não é uma mitigação testada ou recomendada pelo fornecedor para esta CVE específica — trate como medida de última linha, não como correção.

Mito a evitar: como o relato de exploração ativa menciona apenas Macs Intel, times podem assumir que dispositivos Apple Silicon, iOS ou iPadOS estão fora de risco — isso não é o que a Apple afirma. A observação é sobre onde a exploração foi *detectada*, não sobre onde o código vulnerável existe; o patch se aplica a todas as plataformas listadas porque o WebKit vulnerável está presente em todas elas.

Não há assinatura ou indicador de comprometimento público conhecido para esta CVE — a Apple não divulgou detalhes técnicos da exploração observada, e não há writeup independente com IOCs de rede ou de sistema até o momento desta pesquisa. Times de SOC podem monitorar, de forma genérica, acessos a domínios recém-registrados combinados com atividade anômala de WebKit/Safari (crashes, uso elevado de CPU em processos de renderização) em Macs Intel, já que foi a plataforma citada na exploração relatada, mas isso é heurística fraca, não detecção confiável desta falha específica.