93← Home

CVE-2024-27834: Vulnerabilidade de Autenticação Imprópria em Múltiplos Produtos Apple

Manchete de Apple — Multiple Products · compilado de 6 fontes

CISA diz que adicionou uma nova vulnerabilidade ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) "com base em evidência de exploração ativa"[1]

De acordo com a Rescana, CISA adicionou CVE-2024-27834, uma falha WebKit em plataformas Apple, ao catálogo KEV em 4 de novembro de 2026 e deu aos órgãos federais até 18 de novembro de 2026 para corrigi-la[2]. The Hacker News descreve a falha como um bug de autenticação imprópria (pontuação CVSS: 5,5) que poderia permitir que um atacante que já tenha capacidade arbitrária de leitura e escrita contorne a Autenticação de Ponteiro[3]. O portal relata que Apple corrigiu em maio de 2024 no iOS e iPadOS 16.7.8 e 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 e Safari 17.5[3]. Acrescenta que o bug foi mostrado pela primeira vez como zero-day no torneio de hacking Pwn2Own Vancouver em março de 2024[3]. The Hacker News diz que a listagem KEV segue um relatório da Sekoia de que atores de ameaça possivelmente vinculados à Rússia exploraram falhas anteriormente corrigidas no Safari e Google Chrome[3]. BleepingComputer relata que Sekoia atribui a operação com confiança de moderada a alta ao APT29 (também conhecido como Midnight Blizzard)[4]. De acordo com BleepingComputer, Sekoia disse que os atacantes usaram CVE-2025-43529 e CVE-2024-27834 contra iOS 16.7[4], e o payload tem como alvo cookies armazenados no Safari[4]. Infosecurity Magazine relata que a campanha entregou cadeias de exploração para visitantes de sites legítimos, com payloads construídos para roubar cookies, dados de dispositivo e senhas de Wi-Fi sem qualquer interação do usuário[5]. Gulf News relata que os pesquisadores disseram que dispositivos executando as atualizações de segurança mais recentes disponíveis foram protegidos contra as cadeias de exploração que identificaram[6].

Ouvir a músicaCritical CVEs (1 of 3) — November 05, 2026

Fontes

  1. [1]CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  2. [2]Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV — What to Check – Rescana
  3. [3]Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says
  4. [4]Hackers use n-day exploits in zero-click attacks on iOS, Android devices
  5. [5]APT29 Watering Holes Target Unpatched iPhones and Android Devices - Infosecurity Magazine
  6. [6]Hackers target iPhone, Android users through compromised websites

Cada frase relata o que disse um veículo identificado, com link. Compilado pela 93 a partir das reportagens abaixo.

Traduzido da edição em inglês. As citações levam às reportagens originais.

Este tema, dia a dia

CVE-2024-27834: Vulnerabilidade de Autenticação Imprópria em Múltiplos Produtos Apple | 93