בשרשרת שתוקפת אייפון עם iOS 16.7, החולשה הראשונה משיגה קריאה וכתיבה בזיכרון של הדפדפן, וזה לא מספיק. במעבדי אפל מצביעי הקוד חתומים קריפטוגרפית, וקפיצה למצביע שלא נחתם כראוי מפילה את התהליך במקום להריץ את המטען. השלב שמסיר את החסימה הוא CVE-2024-27834, ש-NVD נתנה לה 5.5.

סקירה כללית

Sekoia פרסמה ב-29 באוקטובר ניתוח של קמפיין השקיה שהיא מייחסת בביטחון בינוני עד גבוה ל-APT29 הרוסית. אתרים שנפרצו באוקראינה, בארצות הברית, בצ'כיה ובבולגריה הגישו לכל מבקר אותו קוד JavaScript, שמדווח לשרת איזה מכשיר ודפדפן יש לו. השרת בחר לפי זה אחת משלוש שרשרות ניצול מוכנות, בלי שהמבקר לוחץ על דבר.

אז מה מיוחד בשמונה החולשות שמרכיבות אותן? אף אחת אינה חולשת יום-אפס. Sekoia כותבת במפורש שכולן תוקנו אצל היצרן לפני שהקמפיין התחיל, ושמכשיר מעודכן אינו חשוף לאף שרשרת. שבע מהשמונה ברשימת ה-KEV של CISA, והיחידה שאינה שם היא זו שעוקפת את חתימת המצביעים.

מזהה: CVE-2024-27834
סוג: עקיפת Pointer Authentication (CWE-277 לפי ה-ADP של CISA, NVD לא רשמה CWE)
מוצר: WebKit במערכות של אפל
גרסאות מושפעות: iOS ו-iPadOS עד 17.5, Safari עד 17.5, macOS 14.0 עד 14.5, tvOS עד 17.5, watchOS עד 10.5
גרסה מתוקנת: iOS 17.5 ו-iPadOS 17.5, ובמסלול הוותיק iOS 16.7.8
ניצול בפועל: לא, אינה ברשימת ה-KEV של CISA

ציר זמן

14 במאי 2024: אפל מתקנת ב-iOS 17.5 וב-iOS 16.7.8, והרשומה מתפרסמת ב-NVD.
16 במאי 2024: הערכת ה-SSVC שברשומה מסמנת exploitation: none, ובאותה נשימה technicalImpact: total.
15 בדצמבר 2025: CVE-2025-43529, השלב הראשון בשתי שרשרות האייפון, נכנסת ל-KEV.

איך הניצול עובד

בשרשרת של iOS 16.7 יש שני שלבים בלבד. CVE-2025-43529 מריצה קוד בתהליך הרינדור של WebKit ומגיעה משם לקריאה וכתיבה שרירותיות בזיכרון, ואז CVE-2024-27834 מייצרת מצביעים עם חתימה שנראית תקפה, ואיתם הניצול מפנה את זרימת ההרצה לאן שירצה. הקציר כאן צנוע, עוגיות Safari ולא יותר.

בשרשרת של iOS 18.5 אותו שלב ראשון ממשיך ל-CVE-2026-20700 בתפקיד עקיפת ה-PAC, ומשם ליציאה מארגז החול ולקריאה וכתיבה בגרעין. רק אז נאספים מסדי הנתונים של וואטסאפ וטלגרם, הסיסמאות וה-token-ים מה-Keychain וסיסמאות ה-Wi-Fi. שימור אחיזה אין באף אחת מהשרשרות, ולפי Sekoia אתחול עוצר את הפעילות.

ניתוח ציון ה-CVSS

ציון CVSS: 5.5

הווקטור של NVD אומר AV:L ו-PR:L, כלומר מניח תוקף שכבר רץ על המכשיר ויש לו הרשאות כלשהן. בשרשרת ההנחה הזאת היא בדיוק מה שהשלב הקודם מספק, וה-ADP של CISA, שמילא אותה רשומה עם Scope: Changed, הגיע ל-8.1.

איפה למצוא Proof of Concept (PoC)

ל-CVE-2024-27834 לבדה לא פורסם PoC עצמאי, וחיפוש ב-GitHub לפי המזהה לא מחזיר אחד. הניתוח הטכני המלא, שלב אחר שלב, נמצא בדוח של Sekoia על הקמפיין. ערכת התקיפה DarkSword, שעליה Sekoia מבססת את ההשוואה, סוקרה כאן באוקטובר.

הציון 5.5 לא זז מאז 2024, וגם לא אמור לזוז. מה שכן: כששואלים אם שרשרת כזאת עובדת עליכם, החוליה שמחפשים היא לא זו עם הציון הגבוה, אלא זו שציונה נמוך מספיק כדי שאף אחד לא ידחף אותה לרשימה.