CVE-2024-23222: type confusion Safari, iOS e macOS – patch urgente

CVE-2024-23222 è una vulnerabilità di type confusion (confusione di tipo) scoperta in Safari, iOS, iPadOS, macOS, tvOS e visionOS di Apple. Quando un utente visita una pagina web malevola, il browser può confondere il tipo di un oggetto in memoria, permettendo a un attaccante di eseguire codice arbitrario sul dispositivo. La vulnerabilità è stata corretta il 22 gennaio 2024 in iOS 17.3 e successivamente in patch dedicate per versioni precedenti. Non è semplice da sfruttare: richiede la visita a un sito compromesso, ma l'impatto (esecuzione arbitraria di codice) è massimale.

Il CVSS di 8,8 classifica il rischio come 'high'. Due anni dopo il rilascio del fix (gennaio 2024), continua a rappresentare una minaccia significativa: molte organizzazioni non hanno aggiornato completamente i propri dispositivi iOS 15 e 16. Da novembre 2026, repository pubblici su GitHub dichiarano di contenere materiale di riproduzione dell'exploit Coruna: un segnale che la falla rimane nel radar dei ricercatori di sicurezza. La conferma dell'impatto: il numero di dispositivi a rischio rimane elevato.

I sysadmin e i CISO devono verificare urgentemente lo stato dei patch nei seguenti scenari: (1) Inventario dei dispositivi – quali versioni di iOS, iPadOS e macOS sono in uso? (2) Priorità agli aggiornamenti: iOS 17.3+, macOS Monterey 12.7.3+, Sonoma 14.3+, Ventura 13.6.4+. (3) Per i device legacy (iOS 15, 16): accertarsi che abbiano ricevuto la patch arretrata (15.8.7 o 16.7.5). (4) Monitoraggio: attivare alert su device non conformi e schedare il completamento dell'aggiornamento. Non è consigliabile mantenere device con versioni non patchate in rete aziendale senza mitigazioni compensative.