# CVE-2023-41061 > [!high] Zero-Click no Apple Wallet - Cadeia BLASTPASS do Pegasus > Vulnerabilidade de válidação em arquivos PassKit/Wallet, explorada como parte da cadeia zero-click **BLASTPASS** pelo spyware **Pegasus** da NSO Group para comprometer iPhones sem qualquer interação do usuário. ## Visão Geral A [[cve-2023-41061|CVE-2023-41061]] é uma vulnerabilidade de válidação insuficiente em arquivos especialmente criados no formato PassKit (Apple Wallet). Faz parte da cadeia de exploração **BLASTPASS**, descoberta pelo Citizen Lab, que permite comprometer um iPhone sem qualquer interação do usuário — caracterizando um exploit zero-click de alto impacto. A cadeia BLASTPASS combina esta CVE com a [[cve-2023-41064|CVE-2023-41064]] (buffer overflow no ImageIO) para criar uma exploração completa. O ataque era entregue via iMessage — o alvo recebia uma mensagem com um anexo PassKit malicioso que, ao ser processado automaticamente pelo sistema, desencadeava a execução de código e instalava o spyware [[pegasus|Pegasus]]. O Pegasus é um spyware de espionagem sofisticado da empresa israelense NSO Group, vendido exclusivamente a governos. Uma vez instalado, tem acesso total ao dispositivo: mensagens, câmera, microfone, localização e senhas. O Citizen Lab identificou uso contra jornalistas, ativistas e figuras políticas em múltiplos países. ## Detalhes Técnicos | Campo | Valor | |-------|-------| | Produto | Apple iOS, iPadOS, watchOS | | Componente | PassKit / Apple Wallet | | Tipo | Validação insuficiente de arquivo | | Vetor | Zero-click via iMessage | | Spyware Associado | NSO Group Pegasus | | CVSS Base | 7.8 | ## Cadeia BLASTPASS ``` iMessage recebido automaticamente → Processamento PassKit malicioso (CVE-2023-41061) → Buffer overflow no ImageIO (CVE-2023-41064) → Execução de código arbitrário → Instalação do agente Pegasus → Exfiltração total do dispositivo ``` ## TTPs Relacionados - [[t1203-exploitation-for-client-execution|T1203]] - Exploração para Execução no Cliente - [[t1430-location-tracking|T1430]] - Rastreamento de Localização - [[t1513-screen-capture|T1513]] - Captura de Tela - [[t1417-input-capture|T1417]] - Captura de Entrada ## Mitigação - Atualizar iOS/iPadOS para 16.6.1 ou watchOS para 9.6.2 imediatamente - Ativar **Lockdown Mode** no iPhone para alvos de alto risco (jornalistas, ativistas) - Monitorar comportamentos anômalos pós-comprometimento com MVT (Mobile Verification Toolkit) - Em ambientes corporativos: implementar MDM com política de versão mínima de OS > [!latam] Relevância para Brasil e LATAM > O spyware Pegasus foi identificado em operações contra alvos na América Latina, incluindo figuras políticas e jornalistas. Qualquer pessoa com perfil de alto risco no Brasil — jornalistas investigativos, defensores de direitos humanos, advogados de casos sensíveis — deve manter iPhones atualizados e considerar o uso do Lockdown Mode como medida de proteção. ## Referências - [Citizen Lab - BLASTPASS analysis](https://citizenlab.ca/2023/09/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/) - [Apple Security Advisory iOS 16.6.1](https://support.apple.com/en-us/HT213926) - [NVD - CVE-2023-41061](https://nvd.nist.gov/vuln/detail/CVE-2023-41061)