A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou a CVE-2024-27834 ao seu catálogo de Vulnerabilidades Conhecidamente Exploradas após relatos de que invasores estão explorando a falha. A vulnerabilidade tem classificação de gravidade média, com pontuação CVSS de 5,5, e afeta vários sistemas operacionais da Apple.
A falha envolve autenticação inadequada. Um invasor que já tenha capacidade arbitrária de leitura e gravação poderia usá-la para contornar a Autenticação de Ponteiros. A Apple corrigiu o problema em maio de 2024, por meio de atualizações para iOS e iPadOS 16.7.8 e 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 e Safari 17.5. A falha foi demonstrada como uma vulnerabilidade de dia zero na competição Pwn2Own Vancouver, em março de 2024.
A atualização do catálogo da CISA sucede um relatório da Sekoia que descreveu ataques nos quais vulnerabilidades previamente corrigidas no Safari e no Google Chrome foram usadas para distribuir malware capaz de coletar dados do navegador e do dispositivo. A Sekoia atribuiu a atividade, com confiança de moderada a alta, ao APT29, também conhecido como Cozy Bear e Midnight Blizzard, um grupo ligado ao Serviço de Inteligência Estrangeira da Rússia.
Os ataques relatados usam sites legítimos comprometidos, sites falsos que imitam destinos populares ou um ataque à cadeia de suprimentos que tem como alvo o Plerdy SEO Tracker para distribuir JavaScript malicioso. O script analisa o dispositivo do visitante e aciona vulnerabilidades antes de implantar uma carga útil que rouba informações. A cadeia de exploração relatada, sem necessidade de interação da vítima, combina uma falha de execução remota de código no WebKit, a CVE-2025-43529, com um contorno dos códigos de autenticação de ponteiros para executar JavaScript desenvolvido para roubar cookies do navegador.
A CISA recomenda que as agências do Poder Executivo Federal Civil apliquem os patches necessários até 18 de novembro de 2026.
Fontes: The Hacker News.