CVE-2025-31277

CVE-2025-31277 é uma falha de corrupção de memória no motor WebKit, explorável ao processar conteúdo web malicioso em Safari, iOS/iPadOS, macOS, tvOS, visionOS e watchOS. A Apple corrigiu em julho de 2025 com 'melhor gerenciamento de memória' — descrição genérica que não detalha a causa raiz. Está no catálogo KEV da CISA, o que indica exploração confirmada em ataques reais, e existe PoC pública, apesar do EPSS baixo (0.015) sugerir baixo volume de exploração em massa — mais compatível com uso direcionado do que com campanha oportunista.

A Apple classifica o problema como corrupção de memória (memory corruption) desencadeada pelo processamento de conteúdo web malicioso pelo WebKit, sem especificar o subsistema exato (renderização, parsing de JavaScript, layout, mídia) nem o CWE correspondente. O advisory oficial não fornece detalhes de implementação — apenas confirma que a correção envolveu 'improved memory handling', frase padrão da Apple para classes de bugs como use-after-free (CWE-416) ou escrita fora dos limites (CWE-787), comuns no histórico de vulnerabilidades do WebKit, mas sem confirmação pública de qual delas se aplica aqui.

O vetor de ataque, segundo o CVSS (AV:N/AC:L/PR:N/UI:R), é rede, sem necessidade de privilégios, mas com interação do usuário obrigatória — tipicamente abrir ou navegar até uma página controlada pelo atacante. O impacto reportado é alto em confidencialidade, integridade e disponibilidade (C:H/I:H/A:H), compatível com execução de código dentro do processo de renderização de conteúdo web (WebContent), que roda sandboxed nas plataformas Apple.

A mesma base de código WebKit é usada pelo WebKitGTK em Linux. Advisories da Red Hat (RHSA-2025:17643, 17741, 17743, 17802, entre outros) confirmam que o pacote webkit2gtk3, na versão 2.50.0, incorpora a correção para CVE-2025-31277 junto com outras CVEs do mesmo ciclo (CVE-2025-43272, 43342, 43356, 43368, 43419, 31223). Essas erratas, porém, não descrevem o mecanismo específico desta CVE em seu texto — ela aparece apenas listada entre os CVEs cobertos pelo pacote, sem detalhamento próprio, o que reforça a escassez geral de informação técnica pública sobre a falha.

A exploração exige que a vítima carregue conteúdo web malicioso — página HTML/JS especialmente construída — em um navegador ou componente baseado em WebKit. Não há necessidade de autenticação nem de configuração não padrão; o requisito prático é apenas convencer o usuário a acessar a URL (via link, anúncio malicioso, redirecionamento ou app com WebView). A complexidade de ataque é classificada como baixa (AC:L), mas montar um exploit de corrupção de memória confiável em WebKit costuma exigir engenharia reversa do bug e técnicas de bypass de mitigação (ASLR, sandbox), o que normalmente eleva o esforço real acima do que o CVSS sugere isoladamente.

A presença no catálogo KEV da CISA indica que a CISA tem evidência de exploração ativa em ataques reais, mas os dados disponíveis não trazem atribuição de ator, alvo ou campanha específica. A existência de PoC pública amplia o risco de reprodução por terceiros além do uso original, mesmo que o EPSS baixo sugira que a exploração em massa automatizada não é o padrão observado até o momento — mais consistente com exploração direcionada, cadeia de exploração (encadeada com sandbox escape) ou uso em ferramentas de vigilância.

O resultado final de uma exploração bem-sucedida é corrupção de memória no processo de renderização web, com potencial para execução de código dentro do sandbox do WebContent. Não há confirmação pública, nos materiais analisados, sobre encadeamento com uma vulnerabilidade de escape de sandbox para comprometimento total do dispositivo — essa etapa, se existir, não está documentada nas fontes disponíveis.

A correção oficial é atualizar para Safari 18.6, iOS 18.6, iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 ou watchOS 11.6 (ou versões posteriores). Não há flag de configuração, feature toggle ou controle compensatório documentado pela Apple que neutralize a falha sem atualizar — trata-se de corrupção de memória interna ao motor de renderização, não de um comportamento configurável.

Em distribuições Linux que empacotam WebKitGTK (usado por navegadores e componentes GTK), a correção chegou via pacote webkit2gtk3 versão 2.50.0, com backports específicos para RHEL 8, 9.0, 9.2 e 9.4 (incluindo ramos EUS, AUS, ELS e Update Services for SAP Solutions), publicados entre outubro de 2025 — várias semanas depois da correção original da Apple em julho de 2025, uma janela de exposição relevante para quem depende desses pacotes.

Como paliativo real na ausência de atualização imediata: restringir a superfície de exposição a conteúdo web não confiável (políticas de navegação gerenciada, isolamento de perfis, bloqueio de acesso a sites desconhecidos em dispositivos críticos) reduz risco, mas não elimina a vulnerabilidade — não substitui o patch. Desativar JavaScript ou recursos específicos do WebKit não é uma mitigação confirmada pelo fornecedor para esta CVE, e não há indicação nas fontes de que isso bloqueie a exploração.

Não há assinatura de rede ou payload conhecida associada a esta CVE nas fontes disponíveis — trata-se de corrupção de memória disparada por conteúdo web arbitrariamente construído, sem um padrão de requisição HTTP característico a ser detectado por WAF ou IDS. O sinal mais próximo disponível em ambiente corporativo é a análise de crash reports do processo WebContent (WebKit) em dispositivos Apple, especialmente falhas repetidas ou anômalas ao visitar domínios específicos, e telemetria de EDR capaz de identificar comportamento pós-exploração (spawn de processos anormais a partir do navegador, escrita em memória executável). Para ambientes Linux com WebKitGTK, logs de crash do processo de renderização em aplicações que embutem o componente também são o indicador mais direto disponível, na ausência de qualquer IOC publicado para esta CVE específica.