La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto CVE-2024-27834 al proprio catalogo delle vulnerabilità note sfruttate, dopo aver ricevuto segnalazioni secondo cui gli aggressori stanno sfruttando la falla. La vulnerabilità ha un livello di gravità medio, con un punteggio CVSS di 5,5, e interessa diversi sistemi operativi Apple.

La falla riguarda un’autenticazione non corretta. Un aggressore che disponga già della capacità di lettura e scrittura arbitraria potrebbe sfruttarla per aggirare la Pointer Authentication. Apple ha risolto il problema nel maggio 2024 con aggiornamenti per iOS e iPadOS 16.7.8 e 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 e Safari 17.5. La vulnerabilità è stata dimostrata come zero-day al concorso Pwn2Own Vancouver nel marzo 2024.

L’aggiornamento del catalogo di CISA fa seguito a un rapporto di Sekoia che descrive attacchi in cui sono state usate vulnerabilità precedentemente corrette in Safari e Google Chrome per distribuire malware in grado di raccogliere dati del browser e del dispositivo. Sekoia ha attribuito l’attività, con un livello di confidenza da moderato ad alto, ad APT29, noto anche come Cozy Bear e Midnight Blizzard, un gruppo affiliato al Servizio di intelligence estera russo.

Gli attacchi segnalati utilizzano siti web legittimi compromessi, siti falsi che imitano destinazioni popolari oppure un attacco alla catena di fornitura che prende di mira Plerdy SEO Tracker per distribuire JavaScript malevolo. Lo script raccoglie informazioni sul dispositivo del visitatore e attiva le vulnerabilità prima di distribuire un payload progettato per rubare informazioni. La catena di exploit zero-click segnalata combina una vulnerabilità di esecuzione di codice da remoto in WebKit, CVE-2025-43529, con un bypass dei codici di autenticazione dei puntatori per eseguire JavaScript progettato per rubare i cookie del browser.

CISA raccomanda alle agenzie del ramo esecutivo civile federale di applicare le patch necessarie entro il 18 novembre 2026.

Fonti: The Hacker News.