CVE-2022-22675

Falha de escrita fora dos limites (out-of-bounds write) no componente AppleAVD, o driver de kernel responsável por decodificação de vídeo/áudio no iOS, iPadOS, macOS, watchOS e tvOS. Uma aplicação maliciosa que processa mídia especialmente construída pode corromper memória do kernel e escalar para execução de código com privilégios de kernel — ou seja, comprometimento total do dispositivo a partir de um app comum. A Apple confirmou que a falha foi explorada ativamente antes da correção, e ela está no catálogo KEV da CISA.

O problema está no AppleAVD, o driver de kernel da Apple que decodifica fluxos de vídeo (e é reutilizado por outros codecs de mídia). Ao processar um buffer de entrada malformado, o código não valida corretamente os limites de um array ou estrutura antes de escrever nele — uma falha classificável como CWE-787 (Out-of-bounds Write). Como AppleAVD roda em contexto de kernel, uma escrita fora dos limites ali não corrompe apenas memória de um processo isolado: pode sobrescrever estruturas do kernel e dar ao atacante controle sobre o fluxo de execução privilegiado.

O atacante controla o conteúdo do arquivo ou stream de mídia entregue ao decodificador — é esse conteúdo malformado que dispara o cálculo de offset ou tamanho incorreto que leva à escrita fora dos limites. A Apple não detalhou publicamente o campo exato do formato de mídia nem o tipo de estrutura corrompida; a correção foi descrita apenas como 'improved bounds checking', sem divulgação de detalhes de implementação.

O CVSS 3.1 (7.8, AV:L/AC:L/PR:N/UI:R) reflete que a exploração exige execução local de uma aplicação maliciosa e alguma interação do usuário (UI:R) — por exemplo, abrir um app ou conteúdo que acione o decodificador — mas não exige privilégios prévios (PR:N) nem acesso à rede. O impacto listado é máximo em confidencialidade, integridade e disponibilidade porque o resultado final é execução arbitrária em kernel.

O vetor típico é uma aplicação instalada no dispositivo (ou conteúdo processado por um app) que entrega ao AppleAVD um buffer de mídia malformado, disparando a escrita fora dos limites e permitindo escalada de privilégios de processo de usuário para kernel. Isso não é uma falha remota por si só — é uma vulnerabilidade de escalonamento de privilégios local, tipicamente encadeada com outra falha usada para obter execução inicial de código (por exemplo, via navegador, app de mensagens ou anexo malicioso) para formar uma cadeia completa de comprometimento do dispositivo.

A Apple declarou estar ciente de relatos de exploração ativa antes da correção, sem detalhar o ator, a campanha ou o alvo. A entrada no catálogo KEV da CISA confirma exploração documentada em operações reais, reforçando que a falha foi usada fora de laboratório, não apenas demonstrada por pesquisadores.

Não há prova de conceito pública detalhada nas fontes revisadas; o mecanismo exato do payload de mídia que dispara a falha não foi divulgado pela Apple nem por pesquisadores nas referências disponíveis. Isso limita a reprodução por terceiros, mas não muda o fato de que a falha já foi usada como parte de uma cadeia de escalonamento de privilégios contra usuários reais.

A correção definitiva é atualizar para as versões que incluem o 'improved bounds checking' no AppleAVD: iOS 15.4.1 e iPadOS 15.4.1, macOS Big Sur 11.6.6, macOS Monterey 12.3.1, watchOS 8.6 e tvOS 15.5. Não há flag, configuração ou controle compensatório documentado pela Apple para mitigar a falha sem atualizar — o driver de kernel afetado é parte do sistema operacional, não um componente que possa ser desativado seletivamente em uso normal do dispositivo.

Para ambientes que não podem atualizar imediatamente (dispositivos gerenciados em frota, por exemplo), a única redução de exposição real é restringir a instalação de aplicações não confiáveis via MDM/gerenciamento de dispositivo, já que a exploração depende de uma aplicação capaz de entregar mídia malformada ao decodificador — isso reduz superfície mas não elimina o risco caso o vetor inicial seja um app já permitido ou conteúdo processado por app nativo.

Não existe mitigação por WAF ou controle de rede, pois a falha é local, dentro do sistema operacional do dispositivo, sem componente de rede exposto.

Não há assinatura de rede a monitorar — a falha é explorada localmente, dentro do sistema operacional, sem tráfego de rede diagnosticável por padrão. Em nível de dispositivo, sinais de exploração de escalonamento de privilégios via kernel geralmente aparecem como crashes ou reinicializações inesperadas relacionadas ao AppleAVD/decodificação de mídia nos logs do sistema (sysdiagnose, crash reports), mas a Apple não publicou indicadores de comprometimento específicos para esta CVE, e não há confirmação pública de que exista um padrão forense confiável e amplamente conhecido para detectar exploração passada desta falha especificamente.