CVE-2023-41974

Use-after-free no driver do Apple Neural Engine (ANE) que permite a um app local escalar privilégios e executar código com privilégios de kernel. Não é uma falha explorável remotamente por si só: ela é o elo final de uma cadeia de exploração — o passo que transforma execução de código em sandbox (obtida via um RCE inicial, normalmente no WebKit) em controle total do dispositivo. Faz parte do kit de exploração 'Coruna', documentado pelo Google Threat Intelligence Group como usado por um vendor de spyware comercial, por um grupo de espionagem suspeito de ligação russa (UNC6353) e por um ator financeiro chinês (UNC6691).

A falha (CWE-416, use-after-free) está no componente Apple Neural Engine, o subsistema de hardware/driver dedicado a cargas de machine learning nos SoCs Apple. O advisory da Apple descreve apenas 'a use-after-free issue was addressed with improved memory management' sem detalhar a rotina exata do kernel afetada. O padrão típico de UAF em drivers desse tipo é a liberação prematura de uma estrutura (buffer, objeto de contexto de tarefa ANE) que ainda tem uma referência ativa em outro caminho de código, permitindo que um atacante realoque memória controlada no mesmo endereço e sequestre a estrutura antes que o kernel a use novamente.

O atacante controla o que um app malicioso — ou código já em execução dentro de um app comprometido por outra falha — consegue disparar via chamadas ao driver ANE, manipulando o timing de liberação/uso do objeto vulnerável para conseguir corromper memória do kernel de forma determinística. O resultado documentado pela Apple é execução arbitrária de código com privilégios de kernel, o nível mais alto de comprometimento possível em iOS/iPadOS.

A mesma classe de CVE aparece repetida no boletim de segurança do iOS 17: pelo menos outra CVE no componente ANE (CVE-2023-41071) tem descrição quase idêntica ('a use-after-free issue... improved memory management... execute arbitrary code with kernel privileges'), reforçando que o subsistema ANE recebeu correções em série nesse ciclo — múltiplas falhas de memória distintas no mesmo driver, não uma única issue com vários CVEs.

O CVSS 3.1 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) reflete exatamente esse papel: acesso local, sem privilégio prévio necessário, mas com interação do usuário exigida — ou seja, o app/exploit precisa ser executado no dispositivo, o que normalmente acontece após o usuário visitar uma página web maliciosa ou abrir um app que já obteve execução de código via outra vulnerabilidade.

Na prática documentada, esta CVE não é o vetor de entrada — é o passo de escalação de privilégios de uma cadeia completa. O relatório do Google Threat Intelligence Group sobre o kit 'Coruna' descreve o fluxo: um framework JavaScript obfuscado, entregue via WebKit (navegador ou WebView embutido), faz fingerprinting do dispositivo para identificar modelo e versão de iOS, entrega um exploit de RCE no WebKit (por exemplo CVE-2024-23222, CVE-2023-43000 ou CVE-2023-43010, todos também citados nos mesmos advisories da Apple) para obter execução de código dentro do sandbox de conteúdo web, e então usa exploits de kernel — entre eles falhas no ANE como esta — para escapar do sandbox e ganhar privilégios de kernel completos.

O pré-requisito real é o usuário visitar um site controlado pelo atacante (ou uma página comprometida via iframe oculto) num dispositivo iOS/iPadOS vulnerável, sem interação adicional visível — drive-by no sentido de que basta carregar a página. O kit verifica e aborta se o Lockdown Mode estiver ativado ou se o navegador estiver em modo privado, o que indica que os operadores buscavam evitar detecção nesses cenários mais monitorados.

A exploração ativa é confirmada: a CVE está no catálogo KEV da CISA e foi recuperada em estado funcional pelo Google em campanhas reais — inicialmente por um cliente de vendor de spyware comercial (início de 2025), depois em ataques de watering hole contra usuários ucranianos atribuídos a UNC6353, e por fim em campanhas de golpe financeiro em larga escala (sites falsos de câmbio de criptomoeda) operadas por UNC6691, um ator financeiro chinês. O kit funciona contra iOS 13.0 até 17.2.1, cobrindo um intervalo de mais de quatro anos de dispositivos não atualizados.

A correção definitiva é atualizar para iOS 17 / iPadOS 17 (lançados em 18/09/2023), que contém o patch original. Para dispositivos que não suportam iOS 16/17 por limitação de hardware (iPhone 6s, iPhone 7, iPhone SE 1ª geração, iPad Air 2, iPad mini 4ª geração, iPod touch 7ª geração), a Apple fez backport da correção em iOS 15.8.7 / iPadOS 15.8.7. Qualquer versão anterior a esses dois pontos de correção, no respectivo ramo suportado pelo hardware, permanece vulnerável.

Como controle compensatório quando a atualização não é imediatamente viável, a própria pesquisa do Google recomenda ativar o Lockdown Mode — o kit de exploração observado verifica essa condição e interrompe a cadeia de ataque se estiver ativa, o que reduz superfície de ataque real, embora não elimine a vulnerabilidade subjacente. Não há flag de configuração, WAF ou controle de rede que mitigue uma falha de kernel local em um driver de hardware: a exploração ocorre no dispositivo, após um passo de RCE que normalmente já contornou qualquer controle perimetral.

Não funciona como mitigação: restringir apenas o Safari, já que a entrega observada usa iframes ocultos em sites comprometidos e WebViews de apps, não exclusivamente o navegador padrão; e supor que dispositivos mais antigos 'fora de suporte' estão seguros — o backport para iOS 15.8.7 existe justamente porque esses modelos continuavam expostos e ativamente explorados.

Não há assinatura pública específica para a exploração isolada desta CVE no driver ANE — a Apple não publica detalhes técnicos da falha nem indicadores de exploração no boletim. Os únicos indicadores conhecidos vêm da pesquisa do Google sobre o kit 'Coruna' como um todo: domínios e infraestrutura associados (por exemplo cdn.uacounter[.]com e domínios de sites falsos de câmbio de criptomoeda com padrão .xyz), um framework JavaScript com obfuscação característica (arrays de códigos de caracteres XOR, operações de XOR em inteiros), payloads binários servidos com extensão .min.js e criptografados com ChaCha20, e o comportamento de bail-out quando o dispositivo está em Lockdown Mode ou navegação privada. A ausência desses indicadores não garante ausência de exploração, já que a etapa de escalação de privilégios em si ocorre inteiramente no dispositivo, sem tráfego de rede adicional identificável.