# CVE-2025-43510 - Apple Improper Locking (Manipulação de Memória Compartilhada Entre Processos) > [!danger] CISA KEV - Prazo de Remediação: 2026-04-03 > Esta vulnerabilidade está no **CISA Known Exploited Vulnerabilities Catalog** (adicionada em 2026-03-20). Agências federais dos EUA devem remediar até **2026-04-03**. Atualizar todos os dispositivos Apple imediatamente. Trata-se de parte de cadeia de exploração com [[cve-2025-43520|CVE-2025-43520]] e [[cve-2025-31277|CVE-2025-31277]]. > CVSS: 6.3 (Médio) · Vendor: Apple · Patch: Sim · CISA KEV: Sim (2026-03-20) ## Resumo **CVE-2025-43510** é uma vulnerabilidade de **bloqueio impróprio** (CWE-667 - Improper Locking) que afeta múltiplos produtos Apple, incluindo iOS, iPadOS, macOS, watchOS, tvOS e visionOS. A falha permite que uma **aplicação maliciosa cause alterações inesperadas em memória compartilhada entre processos**. A vulnerabilidade reside em verificações incorretas de estado de bloqueio (lock state) ao acessar regiões de memória compartilhada entre processos. Um aplicativo malicioso pode explorar condições de corrida nessas regiões para elevar privilégios ou corromper dados de processos adjacentes. **Pontuação de risco:** - CVSS v3.1: **6.3** (Médio) - nota CVSS não reflete o papel desta CVE em cadeias de exploração - CISA KEV: **adicionado em 2026-03-20** - prazo de remediação: **2026-04-03** - Exploit: **exploração ativa confirmada** em cadeia com [[cve-2025-43520|CVE-2025-43520]] e [[cve-2025-31277|CVE-2025-31277]] ## Impacto Técnico Esta CVE é melhor compreendida no contexto da **cadeia de exploração Apple completa** identificada no batch KEV de 2026-03-20: **Papel na cadeia:** 1. [[cve-2025-31277|CVE-2025-31277]] - acesso inicial via WebKit (browser memory corruption) 2. **CVE-2025-43510** - escalonamento via manipulação de memória compartilhada entre processos (este CVE) 3. [[cve-2025-43520|CVE-2025-43520]] - controle total via kernel write A exploração de condições de corrida em memória compartilhada é uma técnica clássica de escalada de privilégios em ambientes iOS/macOS, tipicamente combinada com outros primitivos para alcançar comprometimento total do dispositivo. **Impacto para organizações LATAM/Brasil:** Assim como [[cve-2025-43520|CVE-2025-43520]], esta CVE é mais relevante no contexto de **ataques dirigidos a alvos de alto valor** - executivos, jornalistas, ativistas e funcionários governamentais que utilizam dispositivos Apple. A amplitude da superfície de ataque (todos os principais sistemas operacionais Apple) e a confirmação de exploração ativa elevam significativamente o risco. ## Produtos Afetados | Vendor | Produto | Versão Afetada | Versão com Fix | |--------|---------|----------------|----------------| | Apple | iOS | < 18.7.2 e < 26.1 | 18.7.2 / 26.1 | | Apple | iPadOS | < 18.7.2 e < 26.1 | 18.7.2 / 26.1 | | Apple | macOS Sonoma | < 14.8.2 | 14.8.2 | | Apple | macOS Sequoia | < 15.7.2 | 15.7.2 | | Apple | macOS Tahoe | < 26.1 | 26.1 | | Apple | watchOS | < 26.1 | 26.1 | | Apple | tvOS | < 26.1 | 26.1 | | Apple | visionOS | < 26.1 | 26.1 | ## Patch e Mitigação **Patch oficial:** - Atualizar todos os dispositivos Apple para as versões corrigidas listadas acima - iOS/iPadOS: Ajustes > Geral > Atualização de Software - macOS: Menu Apple > Preferências do Sistema > Atualização de Software - Não há workarounds disponíveis - atualização obrigatória **Mitigações temporárias:** - Restringir instalação de aplicativos apenas à App Store oficial em dispositivos corporativos - Implementar políticas MDM para controle de apps instalados - Para alvos de alto risco: considerar isolamento de dispositivos até aplicação do patch ## Exploração Ativa **Status atual:** ✅ **Exploração ativa confirmada** - parte de cadeia de exploração com [[cve-2025-43520|CVE-2025-43520]] e [[cve-2025-31277|CVE-2025-31277]] **Contexto analítico:** A inclusão de três CVEs Apple no mesmo batch CISA KEV de 2026-03-20 não é coincidência. Conforme análise do TheCyberThrone (2026-03-21), a combinação das três CVEs forma uma **progressão lógica de exploração**: - Browser → escalada via inter-process memory → kernel write completo - Este padrão é consistente com **implantes de spyware governamental** de alta sofisticação ## CISA KEV Esta vulnerabilidade foi adicionada ao **CISA Known Exploited Vulnerabilities (KEV) Catalog** em **2026-03-20**. - **Prazo de remediação para agências federais EUA:** **2026-04-03** - **Recomendação para o setor privado:** atualizar todos os dispositivos Apple imediatamente; tratar como parte da cadeia [[cve-2025-31277|CVE-2025-31277]] + CVE-2025-43510 + [[cve-2025-43520|CVE-2025-43520]] - **Referência:** [CISA KEV - CVE-2025-43510](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ## Detecção e Resposta ### Splunk SPL ```spl index=endpoint sourcetype=crowdstrike:events OR sourcetype=sysmon | search EventCode=1 OR event_simpleName=ProcessRollup2 | search (ParentImage="*WebKit*" OR ParentImage="*Safari*" OR ParentImage="*WebContent*") | eval chain_indicator=if(like(CommandLine, "%launchd%") OR like(CommandLine, "%spawn%"), "HIGH", "MEDIUM") | table _time, host, ParentImage, Image, CommandLine, chain_indicator | sort -_time ``` ```spl index=endpoint sourcetype=apple_unified_log | search "race condition" OR "shared memory" OR "IPC" OR "mach port" | eval severity="MEDIUM" | stats count by host, process, message | sort -count ``` ### Microsoft Sentinel KQL ```kql // Detecção de escalada de privilégio em dispositivos Apple (via Defender for Endpoint) DeviceProcessEvents | where TimeGenerated > ago(24h) | where DeviceOS has_any ("iOS", "macOS", "iPadOS") | where InitiatingProcessFileName has_any ("SafariWebContent", "WebKitNetworkProcess", "com.apple.WebKit") | where FileName has_any ("bash", "sh", "python", "perl", "launchd") | project TimeGenerated, DeviceName, DeviceOS, InitiatingProcessFileName, FileName, ProcessCommandLine | order by TimeGenerated desc ``` ```kql // Indicadores de comprometimento de dispositivos Apple no Intune/MDE DeviceInfo | where TimeGenerated > ago(7d) | where OSPlatform has_any ("iOS", "macOS") | where OSVersion !in ("18.7.2", "26.1", "14.8.2", "15.7.2") | project TimeGenerated, DeviceName, OSPlatform, OSVersion, JoinType | order by TimeGenerated desc ``` ### Regra Sigma ```yaml title: Apple CVE-2025-43510 Privilege Escalation via Shared Memory Race Condition id: b2c3d4e5-f6a7-8901-bcde-f01234567891 status: experimental description: > Detecta padrões de exploração da CVE-2025-43510 - escalada de privilégio via condição de corrida em memória compartilhada entre processos Apple. Tipicamente parte de cadeia com CVE-2025-31277 e CVE-2025-43520. references: - https://support.apple.com/en-us/111900 author: RunkIntel date: 2026-03-23 tags: - attack.privilege_escalation - attack.t1068 - cve.2025-43510 logsource: product: macos service: unified_log detection: selection_webkit_parent: process.parent.name|contains: - 'com.apple.WebKit' - 'SafariWebContent' - 'WebKitNetworkProcess' selection_suspicious_child: process.name|contains: - 'bash' - 'sh' - 'python' - 'launchd' condition: selection_webkit_parent and selection_suspicious_child falsepositives: - Uso legítimo de WebKit em automação de testes (instrumentação Xcode) level: high ``` ### EDR - SentinelOne **Deep Visibility Query - cadeia de exploração Apple:** ``` src.process.name ContainsCIS "WebKit" OR "SafariWebContent" AND tgt.process.name In ("bash", "sh", "python3", "osascript") AND src.process.signedStatus != "signed" ``` **Watch Query - versões vulneráveis de iOS/macOS não corrigidas:** ``` AgentVersion exists AND AgentOS In ("macos", "ios") AND NOT (OSVersion Contains "18.7.2" OR OSVersion Contains "26.1" OR OSVersion Contains "14.8.2" OR OSVersion Contains "15.7.2") ``` > [!latam] Relevância para Brasil e LATAM > Dispositivos Apple iOS e macOS são amplamente adotados por executivos, jornalistas, ativistas e funcionários de alto escalão em organizações governamentais e empresas privadas no Brasil e na América Latina. A combinação desta CVE com **CVE-2025-31277** (WebKit) e **CVE-2025-43520** (kernel write) forma uma cadeia completa de comprometimento de dispositivo sem interação do usuário - o perfil exato de ferramentas como **Pegasus** (NSO Group) e **Predator** (Intellexa). Jornalistas investigativos brasileiros, defensores de direitos humanos na Venezuela e Colômbia, e funcionários governamentais em ministérios com acesso a informações sensíveis são perfis de alto risco para este tipo de exploração. Organizações devem implementar **Apple Lockdown Mode** para dispositivos de alto risco e garantir gestão MDM centralizada com controle de versão de OS. ## Notas Relacionadas **CVEs relacionados:** [[cve-2025-43520|CVE-2025-43520]] · [[cve-2025-31277|CVE-2025-31277]] **TTPs relacionadas:** [[t1068-exploitation-privilege-escalation|T1404 - Exploit OS Vulnerability]] · [[t1068-exploitation-privilege-escalation|T1068 - Exploitation for Privilege Escalation]] **Setores em risco:** [[government]] · [[financial]] · [[mídia]] · [[sociedade-civil]]