Apple: ocolirea Pointer Authentication, exploatată (CVE-2024-27834)

Pe 4 noiembrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) CVE-2024-27834, o vulnerabilitate de autentificare necorespunzătoare în mai multe produse Apple. Includerea în catalog înseamnă că, potrivit CISA, vulnerabilitatea este exploatată în atacuri reale. Corecția nu este nouă: se află în Safari 17.5, iOS și iPadOS 16.7.8 și 17.5, macOS Sonoma 14.5, tvOS 17.5 și watchOS 10.5, actualizări din mai 2024 (fișa NVD a fost publicată pe 14 mai 2024). Riscul privește așadar dispozitivele și sistemele care nu au mai fost actualizate de atunci.

Informațiile din acest articol provin dintr-o singură sursă, fișa din catalogul KEV cu datele NVD: avizul nu spune cine a exploatat vulnerabilitatea, împotriva cui și nici de când.

Ce permite vulnerabilitatea

Potrivit descrierii publicate de NVD, un atacator care are deja capacitatea de a citi și scrie arbitrar în memorie poate ocoli Pointer Authentication. Apple a rezolvat problema „prin verificări îmbunătățite”.

Pointer Authentication (PAC) este protecția procesoarelor Apple cu arhitectură ARM care semnează pointerii cu un cod criptografic și îl verifică înainte de a-i folosi: rolul ei este să împiedice un atacator capabil să scrie în memorie să deturneze fluxul de execuție al programului. Ocolirea ei elimină una dintre barierele dintre un defect de corupere a memoriei și o execuție de cod fiabilă.

Din descrierea însăși reiese că CVE-2024-27834 nu este suficientă singură: presupune o capacitate de citire și scriere arbitrară obținută pe altă cale, deci se folosește într-un lanț de exploituri împreună cu cel puțin o altă vulnerabilitate. Fișa KEV nu spune care.

Detalii tehnice

• CVE: CVE-2024-27834, clasificată de NVD drept CWE-287 (autentificare necorespunzătoare).
• CVSS 3.1: 5.5, gravitate medie, vector AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N, cu același scor de la NVD și de la CNA. Atac local, complexitate redusă, privilegii reduse, fără interacțiunea utilizatorului, impact ridicat asupra integrității.
• Produse și versiuni afectate (CPE NVD):
  • Safari anterior versiunii 17.5;
  • iOS și iPadOS anterioare versiunii 16.7.8, precum și de la 17.0 până la 17.5, exclusiv;
  • macOS anterior versiunii 14.5 (Sonoma);
  • tvOS anterior versiunii 17.5 și watchOS anterior versiunii 10.5;
  • WebKitGTK și WPE WebKit anterioare versiunii 2.44.2;
  • Fedora 39 și 40.
• Ransomware: potrivit CISA, folosirea în campanii ransomware este „necunoscută”.
• Termen pentru agențiile federale americane: 18 noiembrie 2026.

Printre referințele din fișa NVD, pe lângă buletinele Apple, apare o analiză terță a Sekoia, a cărei adresă face referire la atacuri watering hole atribuite grupului APT29 împotriva dispozitivelor mobile, cu exploituri n-day. Nici CISA, nici NVD nu leagă explicit exploatarea de acea campanie, iar avizul nu conține indicatori de compromitere. Din același motiv nu indicăm tehnici MITRE ATT&CK: sursele nu descriu lanțul de atac.

Impactul pentru companiile europene și italiene

Scorul mediu poate fi înșelător: contează faptul că vulnerabilitatea este exploatată și că servește la completarea lanțurilor de atac împotriva dispozitivelor Apple. Cazurile cele mai expuse sunt:

• iPhone-uri și iPad-uri rămase pe iOS 16 sau 17 neactualizate, inclusiv unitățile partajate în secții, magazine sau depozite și cele personale folosite pentru e-mailul companiei;
• Mac-uri cu macOS anterior versiunii Sonoma 14.5 sau cu Safari neactualizat;
• stații de lucru și sisteme Linux cu WebKitGTK sau WPE WebKit anterioare versiunii 2.44.2; NVD menționează în mod special Fedora 39 și 40.

Pentru entitățile NIS2, gestionarea vulnerabilităților include și smartphone-urile, tabletele și Mac-urile: o vulnerabilitate corectată de peste doi ani și confirmată acum ca exploatată este un bun test pentru a vedea dacă inventarul dispozitivelor este complet. În sănătate, unde iPad-urile și iPhone-urile sunt folosite des pentru consultarea datelor clinice, dispozitivele vechi trebuie verificate primele.

Ce să faci acum

1. Fă inventarul: din consola MDM, extrage iPhone-urile și iPad-urile cu o versiune anterioară lui 16.7.8 sau cu o versiune 17.x anterioară lui 17.5, Mac-urile cu macOS anterior versiunii Sonoma 14.5, Apple TV-urile anterioare lui tvOS 17.5 și Apple Watch-urile anterioare lui watchOS 10.5.
2. Actualizează: versiunile indicate sunt minimul pentru această vulnerabilitate; dacă dispozitivul permite, adu-l la cea mai recentă versiune suportată, care conține și corecțiile apărute ulterior.
3. Verifică Linux: controlează versiunea pachetelor WebKitGTK și WPE WebKit și actualizează-le cel puțin la 2.44.2 din depozitele distribuției.
4. Gestionează dispozitivele care nu se pot actualiza: pentru produsele fără corecție, CISA recomandă renunțarea la folosirea lor; în companie înseamnă să le retragi accesul la datele companiei sau să le înlocuiești.
5. Documentează: înregistrează rezultatul verificării în procesul de gestionare a vulnerabilităților, cu data și dispozitivele implicate.

Cum ajută ARXDOME

Pe Mac și Linux, agentul ARX Sentry colectează inventarul de sistem și software, deci arată ce mașini au încă macOS anterior versiunii Sonoma 14.5 sau pachete WebKitGTK și WPE WebKit de actualizat. ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet, le evidențiază pe cele deja exploatate și le urmărește evoluția până la închidere. Pentru iPhone și iPad, punctul de control rămâne consola MDM.

Ultima actualizare: 4 noiembrie 2026