CVE-2024-23296

Falha de corrupção de memória no RTKit, o sistema operacional em tempo real que a Apple executa em coprocessadores auxiliares dentro do SoC (usado, entre outras coisas, para reforçar proteções de memória do kernel). O CVSS de 7.8 é enganoso: a própria Apple afirma que a exploração exige que o atacante já tenha capacidade de leitura e escrita arbitrária no kernel — ou seja, não é a porta de entrada de um ataque, é a peça final de uma cadeia que desativa as proteções que impediriam a persistência ou o aprofundamento do comprometimento. Está no catálogo KEV da CISA porque a Apple confirmou exploração ativa, provavelmente como parte de uma cadeia de spyware direcionado, não de exploração em massa.

RTKit é o RTOS leve que a Apple roda em coprocessadores dedicados dentro dos seus SoCs (função usada para descarregar tarefas sensíveis e, especificamente, para ajudar a impor proteções de memória do kernel que sobrevivem mesmo a um atacante com controle do kernel principal — mecanismos análogos ao PPL/KTRR em plataformas Apple Silicon). O advisory descreve genericamente 'a memory corruption issue was addressed with improved validation', sem detalhar CWE, estrutura de dados ou rotina afetada — típico da linguagem econômica da Apple para bugs usados em exploração real.

A precondição documentada pela própria Apple é decisiva: o atacante precisa de capacidade de leitura/escrita arbitrária de kernel *antes* de acionar esta falha. Isso significa que CVE-2024-23296 não é explorável isoladamente por um app malicioso comum nem por conteúdo web — ela é o passo que vem depois de um exploit inicial (tipicamente via WebKit, um bug de kernel separado, ou outra superfície) já ter dado ao atacante controle total de memória do kernel. Com esse controle em mãos, a falha no RTKit permite corromper a validação que o coprocessador faz, contornando proteções de hardware/firmware que normalmente impediriam certas modificações persistentes ou o desligamento de mitigações adicionais.

A única correção real é atualizar para as versões listadas pela Apple; não há flag, configuração ou controle compensatório a nível de sistema operacional que neutralize especificamente essa falha de firmware/coprocessador, porque ela reside numa camada abaixo do kernel principal. Como a exploração exige uma cadeia com um estágio inicial (obtenção de R/W de kernel), reduzir a superfície de ataque desses estágios anteriores — atualizar navegador/WebKit, aplicar todas as correções de kernel do mesmo ciclo (CVE-2024-23225, por exemplo, corrigida no mesmo pacote) e usar o Modo de Isolamento (Lockdown Mode) da Apple para perfis de alto risco — reduz a chance de o atacante chegar ao ponto onde esta CVE se torna útil, mas não corrige a falha em si.

Não há assinatura de rede ou log de aplicação confiável para esta falha específica — ela opera em nível de firmware de coprocessador, após o atacante já ter comprometido o kernel por outro vetor. Indícios de exploração, quando existem, aparecem em análise forense de dispositivo (imagem completa, ferramentas de triagem de spyware móvel) buscando evidências do estágio inicial da cadeia (exploit de WebKit/kernel), não da falha do RTKit isoladamente.