CVE-2022-22587

Falha de corrupção de memória no kext IOMobileFrameBuffer, componente do kernel que gerencia o framebuffer de exibição em iOS, iPadOS e macOS. Um aplicativo malicioso já instalado no dispositivo pode explorá-la para executar código arbitrário com privilégios de kernel, ou seja, escapar de qualquer sandbox e comprometer o sistema por completo. A Apple confirmou relato de exploração ativa antes da correção, e a CISA incluiu a falha no catálogo KEV com prazo de correção de apenas duas semanas — sinal de que foi tratada como urgente desde o início.

IOMobileFrameBuffer é a extensão de kernel responsável por gerenciar o buffer de quadros da tela em dispositivos Apple. Historicamente é um dos alvos preferidos para escalonamento de privilégios em iOS/macOS porque expõe uma interface IOKit (user client) acessível a partir de espaço de usuário sem exigir privilégios elevados — qualquer app pode abrir uma conexão com o driver e enviar chamadas (IOConnectCallMethod) que acabam processadas no contexto do kernel.

A Apple descreve o problema apenas como 'memory corruption issue... addressed with improved input validation', sem detalhar a rotina exata nem o tipo preciso de corrupção. O catálogo KEV da CISA classifica a falha sob CWE-20 (validação de entrada inadequada) e CWE-787 (escrita fora dos limites/out-of-bounds write), o que indica que uma entrada controlada pelo app malicioso — provavelmente um tamanho, offset ou índice passado à interface do driver — não era validada corretamente antes de ser usada para escrever em memória do kernel.

O atacante controla os parâmetros passados pela chamada IOKit ao user client do IOMobileFrameBuffer; a falta de checagem permite escrever além dos limites de um buffer no contexto de kernel, corrompendo estruturas internas e possibilitando a execução de código com privilégios de kernel — o nível mais alto de acesso possível no dispositivo.

O vetor real é local, não de rede, apesar do vetor CVSS publicado (AV:N) sugerir o contrário — isso é comum em CVEs da Apple para componentes de kernel, onde o NVD atribui AV:N mesmo quando a exploração exige execução prévia de código no dispositivo. Na prática, o pré-requisito é ter um aplicativo malicioso já instalado e em execução no iPhone, iPad ou Mac (via engenharia social, sideload, ou como segunda etapa de uma cadeia que começou por outro vetor, como um exploit de navegador). Não há indicação nos avisórios de exploração remota direta sem esse passo inicial.

Com o app rodando, o atacante abre uma conexão com o user client do IOMobileFrameBuffer e envia entradas malformadas que disparam a corrupção de memória, obtendo execução de código em contexto de kernel. Isso permite escapar do sandbox de aplicativos, desativar proteções do sistema (como o modelo de permissões do iOS) e instalar spyware persistente ou outro payload com controle total do dispositivo — o padrão típico de cadeias de exploração usadas em campanhas de vigilância contra alvos específicos.

A Apple declarou estar ciente de relato de exploração ativa antes da correção (janeiro de 2022), e a CISA confirmou a exploração ao incluir a falha no KEV logo após o lançamento dos patches, com prazo de correção de apenas 14 dias — um dos prazos mais curtos do catálogo, reservado a falhas com exploração já documentada. Nenhuma das fontes públicas detalha o ator, a campanha ou as vítimas.

A correção é exclusivamente via atualização: não existe flag de configuração, mitigação de rede ou controle compensatório capaz de neutralizar uma falha em uma extensão de kernel sem substituir o binário vulnerável. Atualize para iOS 15.3 / iPadOS 15.3, macOS Monterey 12.2, ou aplique o update macOS Big Sur 11.6.3 conforme a linha em uso.

Em dispositivos que não podem ser atualizados imediatamente, a única redução de risco real é restringir a instalação de aplicativos não confiáveis — via MDM, bloqueio de sideload, ou políticas de app store — já que a exploração depende de um app malicioso em execução no dispositivo. Isso reduz a superfície, mas não elimina a vulnerabilidade subjacente.

Não existe mitigação via WAF, firewall de rede ou hardening de configuração de sistema, já que o vetor não é de rede: qualquer medida nesse sentido é irrelevante para esta CVE específica.

Os avisórios da Apple não publicam indicadores de comprometimento nem detalhes técnicos suficientes para escrever uma assinatura de detecção confiável em log de sistema ou tráfego de rede — a exploração ocorre em espaço de kernel local, sem artefato de rede associado à falha em si. O sinal mais próximo disponível publicamente é a presença da falha no catálogo KEV da CISA (adicionada em 28/01/2022, com prazo de correção em 11/02/2022), que confirma exploração ativa sem detalhar táticas, técnicas ou IOCs.