CVE-2023-32373

Use-after-free no WebKit (motor de renderização do Safari e de qualquer WebView no ecossistema Apple) que permite execução arbitrária de código ao processar conteúdo web malicioso. A Apple confirmou ter conhecimento de um relato de exploração ativa antes da correção, e a falha está no catálogo KEV da CISA — ou seja, não é um CVSS alto teórico, é um bug que já foi usado em ataques reais, provavelmente como parte de uma cadeia (WebKit RCE + escape de sandbox/kernel) para atingir dispositivos específicos.

A falha é um use-after-free (CWE-416) dentro do WebKit, o motor usado pelo Safari e por qualquer aplicação que renderize conteúdo web via WKWebView no iOS/iPadOS/macOS/tvOS/watchOS. A Apple descreve o mecanismo de forma genérica — 'endereçado com melhor gerenciamento de memória' — sem detalhar o subsistema exato do WebKit afetado (parser DOM, motor JS, layout etc.); nenhuma das fontes de fornecedor ou distro consultadas aponta o arquivo ou classe C++ específica.

Use-after-free em motores de renderização de página segue um padrão conhecido: um objeto (nó DOM, callback, estrutura de layout) é liberado por uma rotina — geralmente disparada por um evento assíncrono, mutação do DOM via JavaScript, ou callback de garbage collection — enquanto outra parte do código ainda mantém uma referência e volta a usá-la. O atacante que controla o conteúdo HTML/JS da página pode manipular o timing dessas operações para forçar a reutilização de memória liberada com dados controlados, corrompendo o heap e, a partir daí, obtendo controle de fluxo de execução dentro do processo do WebKit.

O CVSS (AV:N/AC:L/PR:N/UI:R) reflete exatamente esse padrão: ataque via rede, sem necessidade de privilégios ou autenticação, mas com exigência de interação do usuário — abrir/visitar uma página, o que no contexto de exploração real normalmente significa clicar num link ou navegar para conteúdo controlado pelo atacante. A CVE aparece listada também nos avisos do WebKitGTK+ (via Gentoo GLSA 202401-04), confirmando que o bug reside no código-fonte do WebKit compartilhado entre plataformas Apple e o port GTK, não em uma integração específica do Safari.

O vetor é conteúdo web: uma página HTML/JS especialmente construída, servida a partir de um site controlado pelo atacante ou injetada em um site legítimo comprometido. A vítima precisa apenas abrir a página no Safari, ou em qualquer app que use WKWebView, para o parser/engine do WebKit processar o conteúdo malicioso e disparar a condição de use-after-free. Não há exigência de autenticação, configuração não padrão ou privilégios elevados — o único pré-requisito real é a interação do usuário ao acessar o link.

Corromper um use-after-free em um motor JS/DOM complexo como o WebKit normalmente exige encadear a corrupção de memória com técnicas de heap grooming/spray para obter execução de código confiável dentro do sandbox do processo de renderização (WebContent). Como a CVE concede apenas RCE dentro desse processo sandboxed, exploração completa de dispositivo tipicamente requer uma segunda vulnerabilidade de escape de sandbox ou elevação de privilégio no kernel — algo consistente com o padrão de cadeias de exploração 'zero-click'/'one-click' observadas em campanhas de spyware direcionado contra iOS.

A Apple afirma estar 'ciente de um relato de que essa questão pode ter sido ativamente explorada' antes da correção, sem detalhar autor, alvo ou campanha. A inclusão no catálogo KEV da CISA confirma exploração real documentada, mas nenhuma das fontes consultadas identifica o grupo responsável, o malware entregue ou se a exploração foi em massa ou direcionada (o padrão histórico de bugs WebKit com essa característica costuma ser exploração direcionada via cadeias de spyware comercial).

Atualizar para as versões corrigidas é a única mitigação real: watchOS 9.5, tvOS 16.5, macOS Ventura 13.4, iOS 15.7.6 e iPadOS 15.7.6 (para dispositivos mais antigos suportados apenas até a série 15), Safari 16.5, e iOS 16.5/iPadOS 16.5. Não há flag de configuração, política de MDM ou hardening de sandbox documentado que neutralize um use-after-free no motor de renderização — o bug está no parsing/processamento de conteúdo, então qualquer app que renderize HTML arbitrário (WKWebView) permanece exposto até a atualização do sistema.

Como paliativo real na ausência de atualização imediata, a única redução de superfície é limitar o consumo de conteúdo web não confiável: evitar abrir links de fontes desconhecidas, restringir o uso de navegadores/WebViews em dispositivos que não podem ser atualizados, ou isolar dispositivos legados (iOS 15.x sem patch) de redes onde tráfego web não é filtrado. Isso reduz probabilidade de exposição, não elimina o risco — não é mitigação técnica no sentido de fechar a vulnerabilidade.

Para distribuições Linux que empacotam WebKitGTK+ (não é produto Apple, mas compartilha o código-fonte vulnerável), a correção está em versões >= 2.42.3, conforme o GLSA da Gentoo. Não há workaround documentado por nenhum fornecedor além da atualização.

Não há assinatura de rede ou payload característico documentado para esta CVE — a exploração ocorre inteiramente client-side, dentro do parsing/execução de conteúdo web pelo processo WebContent do WebKit, sem padrão de tráfego distintivo conhecido publicamente. Sinais indiretos possíveis incluem crashes recorrentes e inesperados do processo WebContent/Safari (relatórios de crash no macOS/iOS mostrando corrupção de heap ou acesso a memória liberada), e alertas de EDR/MDM para comportamento anômalo pós-navegação (spawn de processos, escalonamento de privilégio) em dispositivos não atualizados. Nenhuma das fontes consultadas (advisories Apple, GLSA Gentoo, KEV da CISA) publica indicadores de comprometimento (IOCs), hashes ou domínios associados à exploração relatada.