Três Vulnerabilidades no Ecossistema Apple: Corrupção de Memória Zero-Click, Falsificação de Remetente do iCloud e Escalação de Privilégios Root

• CVE-2026-86869: Zero-Click via iMessage e OpenEXR

O pesquisador ironPeak descobriu um heap buffer overflow em libAppleEXR.dylib: o decodificador aloca 12 bytes por pixel RGB, mas grava 16 bytes, incluindo um canal alfa constante adicional, enquanto os dados RGB são controlados pelo atacante. Um anexo EXR criado maliciosamente é processado automaticamente pelo ImageIO após a chegada de uma mensagem iMessage, desencadeando corrupção de memória sem interação do usuário e fora da sandbox BlastDoor. O pesquisador confirmou o acionamento zero-click em um iPad real e demonstrou uma escrita direcionada pelo atacante e controle do contador de programa em um ambiente de teste controlado. A execução remota de código completa em um dispositivo vítima não foi demonstrada: a etapa final de exploração foi bloqueada pelo Pointer Authentication (PAC), enquanto a marcação de memória por hardware forneceu proteção adicional no processo em segundo plano afetado no mais recente Apple silicon. A Apple corrigiu CVE-2026-86869 em setembro de 2026 em iOS, iPadOS e macOS 27.

• Apple iCloud: Falsificação de Remetente Passando por Verificações SPF, DKIM e DMARC

Timo Longin, da SEC Consult, descobriu duas vulnerabilidades de análise de SMTP que permitiam a um usuário autenticado do iCloud enviar e-mails que pareciam originar-se de endereços @icloud.com arbitrários. A primeira técnica explorou o tratamento inconsistente de caracteres de retorno de carro (CR) no cabeçalho From; a segunda usou diferenças no processamento de dot-stuffing entre os analisadores SMTP da Apple para manipular como os cabeçalhos e o corpo da mensagem eram interpretados. Como as assinaturas DKIM eram geradas após as transformações relevantes da mensagem, os e-mails falsificados passavam pelas verificações SPF, DKIM e DMARC, embora o remetente real ainda pudesse ser identificado em cabeçalhos brutos de e-mail, como Return-Path e Authentication-Results. A Apple confirmou que os problemas foram remediados até dezembro de 2025, e a SEC Consult publicou a análise técnica em outubro de 2026.

• CVE-2026-43783: Escalação de Privilégios Local para Root no macOS

O pesquisador Ilya Andr, da PT SWARM, descobriu CVE-2026-43783 no serviço XPC privilegiado DesktopServicesHelper: seu manipulador RepairPermissionsForCloudItems falhava em verificar se os caminhos de arquivo fornecidos pertenciam ao iCloud. Por meio de fchown(), o serviço podia alterar a propriedade de um arquivo ou diretório especificado pelo atacante para o UID do usuário solicitante. No PoC, o atacante assumiu a propriedade de /private/etc/pam.d, criou sudo_local contendo auth sufficient pam_permit.so e contornou a autenticação de senha do sudo para obter privilégios de root. O exploit usou um aplicativo em sandbox com os direitos com.apple.security.app-sandbox e com.apple.security.temporary-exception.mach-lookup.global-name para acessar o serviço XPC. O patch da Apple introduziu uma verificação obrigatória para o direito privado com.apple.private.desktopservices.cloud-repair-perm.

Artigo (0-click): https://ironpeak.be/blog/ex-arrr-sailing-the-0-click-seas/

Artigo (falsificação do iCloud): https://sec-consult.com/blog/detail/from-anyoneicloudcom-spoofing-arbitrary-apple-icloud-identities/

Artigo (root): https://ptswarm.com/blog/cve-2026-43783-repair-permissions-get-root-lpe-via-desktopserviceshelper-in-macos-26-5/