CISA внесла в каталог Known Exploited Vulnerabilities новую запись об уязвимости продуктов Apple. Так называют перечень уязвимостей, которые уже применяют в реальных атаках. Причина - свидетельства активной эксплуатации. Затронуты Safari, iOS и iPadOS, macOS, tvOS и watchOS, то есть почти весь парк техники Apple.
CVE-2024-27834 обходит Pointer Authentication при доступе к памяти
Запись CVE-2024-27834 опубликована 13 мая 2024 года, а последнее обновление датировано 4 ноября 2026 года. Идентификатор зарезервировали раньше, 26 февраля 2024 года, ещё до появления описания. В мае 2024-го эксплуатацию оценивали как отсутствующую. Однако теперь уязвимость числится среди реально применяемых, и приоритеты меняются. Из-за этого установка исправления переходит из планового порядка в срочный.
Заголовок записи называет уязвимость некорректной аутентификацией в нескольких продуктах Apple. Уязвимы версии Safari ниже 17.5, iOS и iPadOS ниже 17.5, а также ветка 16 ниже 16.7.8. В зону риска попадают также macOS ниже 14.5, tvOS ниже 17.5 и watchOS ниже 10.5. При этом ветка 16 патчится отдельно. Поэтому проверять стоит не только новые устройства, но и давно не обновлявшиеся.
Как работает обход Pointer Authentication
Уязвимость закрыли улучшенными проверками, как сказано в описании. Обойти защиту может атакующий, у которого уже есть произвольное чтение и запись памяти. Pointer Authentication - механизм Apple, который проверяет подлинность указателей в памяти. При этом сам обход не открывает доступ к устройству, но снимает защиту, на которую рассчитывает система. Без предварительного доступа к памяти он бесполезен.
Условия атаки и оценка CVSS
По шкале CVSS 3.1 базовая оценка равна 5.5, это средний уровень. Атака идёт локально, то есть нужен доступ внутрь системы, привилегии низкие, участие пользователя не требуется. В классификации CWE уязвимость отнесена к CWE-287, некорректной аутентификации. В результате можно изменить данные, а влияние на конфиденциальность и доступность не заявлено. Однако SSVC оценивает техническое влияние как полное.
По SSVC атака автоматизируема, то есть её можно повторять без ручной работы. При этом запись об эксплуатации в той оценке датирована маем 2024 года. Значит, автоматизировать атаку могли ещё до KEV. Кроме того, локальный характер сужает круг жертв до устройств, где уже работает чужой код. Из-за этого защита сводится к скорости установки обновлений на всех уровнях парка.
Проверка указателей остаётся на месте, но при полученном доступе к памяти она не спасает. Обход не даёт новых прав, зато расширяет возможности того, кто уже получил доступ к памяти. Поэтому ценность уязвимости зависит от других уязвимостей в цепочке. Отсюда и средний балл. Для защищённости продукта это значит, что одной такой уязвимости для атаки мало.
Версии исправления
Отдельного поля с исправленной версией в записи нет. Зато описание перечисляет релизы, где уязвимость уже закрыта. Это Safari 17.5, iOS 17.5 и iPadOS 17.5, а также macOS Sonoma 14.5. Для старой ветки названы iOS 16.7.8 и iPadOS 16.7.8, для приставок и часов - tvOS 17.5 и watchOS 10.5. Обходных мер в записи нет, поэтому остаётся только обновление.
При этом публичных сведений о конкретных атаках, их целях и пострадавших организациях в материалах нет. Не указано и то, в каких странах зафиксированы попытки. Поэтому масштаб эксплуатации оценить нельзя, а выводы о кампании делать рано. Единственный достоверный сигнал - сама запись в KEV с пометкой об активной эксплуатации. Для администраторов этого достаточно, чтобы не откладывать обновление.
Порядок действий зависит от размера парка техники. Сверить со списком затронутых продуктов стоит все устройства, включая филиалы и удалённые машины. Начать разумно с тех машин, где обновления задерживаются дольше всего. Кроме того, ветку iOS 16 нужно закрывать отдельно от 17.5. После установки исправлений обход перестаёт работать.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2024-27834
- https://www.cisa.gov/news-events/alerts/2026/11/04/cisa-adds-one-known-exploited-vulnerability-catalog
