CVE-2025-31201

CVE-2025-31201 é uma falha no componente RPAC (Pointer Authentication) da Apple que permite a um atacante que já possua capacidade de leitura e escrita arbitrária de memória contornar a verificação criptográfica de ponteiros do ARM64e. Não é uma vulnerabilidade explorável isoladamente: é o elo que transforma um bug de corrupção de memória em execução de código confiável, pulando uma das principais mitigações de exploração do hardware Apple. A Apple confirma que foi usada em um ataque 'extremamente sofisticado' contra indivíduos específicos — padrão típico de spyware comercial/estatal, não de campanhas em massa — e o item está no catálogo KEV da CISA com exploração ativa confirmada.

A Apple descreve a correção apenas como 'remoção do código vulnerável' em RPAC, sem detalhar o mecanismo interno nem atribuir um CWE. Pointer Authentication Codes (PAC) é um recurso de hardware do ARM64e que assina criptograficamente ponteiros (endereços de retorno, ponteiros de dados/função) para impedir que um atacante com controle de memória construa cadeias ROP/JOP válidas. A falha em RPAC permitia contornar essa assinatura, dado um pré-requisito explícito na própria descrição do fornecedor: o atacante precisa já ter 'arbitrary read and write capability' — ou seja, precisa de outra primitiva de memória corrompida como ponto de partida.

Isso classifica CVE-2025-31201 como uma peça de cadeia de exploração, não como vetor de entrada. A gravidade do CVSS 9.8 (AV:N/AC:L/PR:N/UI:N) reflete a falha isolada assumindo que a primitiva de leitura/escrita já existe — ela não descreve um ataque de rede direto e independente.

Existe uma reconstrução técnica publicada por um pesquisador (Joseph Goydish II, via Full Disclosure e repositório no GitHub) associando esta CVE a uma cadeia zero-click via iMessage: um payload AAC malformado corrompendo o CoreAudio (CVE-2025-31200, creditado pela Apple a 'Apple and Google Threat Analysis Group') forneceria a primitiva de memória, e estatísticas AMPDU malformadas no stack IO80211/BCMWLAN (tipos 'kAMPDUStat_' 13/14 não tratados) seriam o gatilho para o bypass de PAC. Essa reconstrução não foi confirmada pela Apple nem por análise técnica independente publicada — trata-se de alegação de um único autor, com narrativa de descoberta e supressão que contradiz o próprio crédito oficial da Apple (que atribui a descoberta de CVE-2025-31200 ao Google TAG e de CVE-2025-31201 à própria Apple, sem menção a esse pesquisador). Deve ser lida como hipótese não verificada, não como fato estabelecido.

O vetor real depende de uma cadeia: primeiro é preciso uma vulnerabilidade de corrupção de memória que dê ao atacante leitura/escrita arbitrária (o candidato mais citado é CVE-2025-31200, no decodificador AAC do CoreAudio, corrigido no mesmo conjunto de atualizações); só então o bypass de PAC em RPAC entra em jogo para transformar esse controle de memória em execução de código confiável no contexto protegido por PAC. Isoladamente, CVE-2025-31201 não gera comprometimento — ela remove uma barreira que dificultaria a exploração de outra falha.

A Apple afirma estar ciente de um relato de exploração 'extremamente sofisticada contra indivíduos específicos' em iOS, o que é linguagem consistente com spyware mercenário direcionado a jornalistas, ativistas ou dissidentes, e não com ataques automatizados de massa. A presença no catálogo KEV da CISA confirma exploração real, mas nem a Apple nem a CISA publicaram detalhes técnicos do exploit usado in-the-wild.

Alegações adicionais e mais extensas — roubo de chaves do Secure Enclave, forjadura de sessões de identidade via identityservicesd, exfiltração de carteiras de criptomoeda, propagação 'wormable' via MultipeerConnectivity — aparecem apenas nas publicações do pesquisador citado acima, sem corroboração independente. Não há confirmação pública de que a exploração observada pela Apple/Google TAG tenha atingido esse escopo; trate essas alegações com ceticismo até validação por terceiros.

A correção é atualizar para iOS 18.4.1 / iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1 ou visionOS 2.4.1. A Apple não publicou flag, configuração ou controle compensatório para esta falha — a correção consistiu em remover o código vulnerável em RPAC, o que só é alcançável via atualização de sistema; não há mitigação parcial documentada.

Como a exploração relatada segue padrão de spyware direcionado, o Modo de Isolamento (Lockdown Mode) da Apple é uma medida geral de redução de superfície de ataque para usuários de alto risco — reduz o processamento automático de anexos e conteúdo de mensagens recebidas de contatos desconhecidos — mas não corrige a vulnerabilidade nem substitui a atualização; é controle compensatório, não patch.

Não funciona como mitigação: restringir apenas o app Mensagens/iMessage a nível de configuração de privacidade, já que a falha reside no framework de mídia (CoreAudio) e no subsistema de kernel/PAC, exigindo atualização do sistema operacional completo.

Não há assinatura pública de detecção confirmada por Apple, Google TAG ou CISA para esta CVE isoladamente. A CISA a lista no KEV por exploração ativa, mas sem publicar indicadores de comprometimento. O único conjunto de 'evidências' com entradas de log detalhadas (mensagens de identityservicesd, AudioConverterService com inMagicCookie=0x0, e IO80211ControllerMonitor::setAMPDUstat reportando tipos 13/14 não tratados) vem de uma fonte não verificada e auto-publicada, sem validação forense independente — não deve ser tratado como IOC confiável sem confirmação adicional.