De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft woensdag een beveiligingsfout met middelhoog risico die meerdere Apple-besturingssystemen raakt toegevoegd aan zijn Known Exploited Vulnerabilities (KEV)-catalogus, naar aanleiding van meldingen over actieve uitbuiting.
De betreffende kwetsbaarheid is CVE-2024-27834 (CVSS-score: 5,5), een geval van onjuiste authenticatie waarmee een aanvaller met willekeurige lees- en schrijfrechten de Pointer Authentication kan omzeilen.
Apple heeft het probleem in mei 2024 verholpen met verbeterde controles in iOS 16.7.8 en iPadOS 16.7.8, iOS 17.5 en iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 en Safari 17.5. De kwetsbaarheid werd als zero-day aangetoond tijdens de Pwn2Own Vancouver-hackwedstrijd die in maart van dat jaar werd gehouden.
De toevoeging van CVE-2024-27834 aan de KEV-catalogus volgt op een rapport van Sekoia waarin staat dat dreigingsactoren, mogelijk gelinkt aan Rusland, eerder gepatchte kwetsbaarheden in Safari en Google Chrome hebben misbruikt om malware te leveren die browserverhalen en apparaatgegevens kan oogsten.
De activiteit is met “matige tot hoge mate van vertrouwen” toegeschreven aan APT29 (ook bekend als Cozy Bear en Midnight Blizzard), een door een staat gesteunde hackinggroep verbonden aan de Russische buitenlandse inlichtingendienst.
De aanvallen maken gebruik van drie initiële toegangspaden – gecompromitteerde legitieme websites, vervalste sites die zich voordoen als populaire websites, en een supply-chain-aanval gericht op Plerdy SEO Tracker – om kwaadaardige JavaScript te serveren dat de kwetsbaarheid activeert en na profiling van het apparaat van de bezoeker uiteindelijk de informatie-stealende payload inzet.
De zero-click exploitketen combineert een remote code execution-kwetsbaarheid in WebKit (CVE-2025-43529) en de pointer authentication codes (PACs)-omzeiling (CVE-2024-27834) om een JavaScript-payload uit te voeren die gericht is op het stelen van browsercookies.
In het licht van actieve uitbuiting wordt aanbevolen dat agentschappen van de Federal Civilian Executive Branch (FCEB) de noodzakelijke patches toepassen vóór 18 november 2026.
