CERTCC emite alerta sobre falhas críticas em software contábil municipal
O CERT/CC divulgou um alerta sobre duas falhas de segurança críticas no software de contabilidade municipal da Workhorse Software Services, que podem permitir que agentes não autorizados acessem e exfiltrarem bancos de dados contendo informações financeiras sensíveis e dados pessoais identificáveis. As vulnerabilidades, identificadas como CVE-2025-9037 e CVE-2025-9040, afetam todas as versões do software anteriores à 1.9.4.48019 e resultam de fraquezas de design nos mecanismos de autenticação e nos protocolos de proteção de dados.
A primeira falha (CVE-2025-9037) refere-se ao armazenamento inseguro de strings de conexão do banco de dados em arquivos de configuração em texto claro, o que expõe credenciais a qualquer entidade com acesso de leitura ao compartilhamento de rede. A segunda falha (CVE-2025-9040) permite operações de backup de banco de dados não autenticadas, acessíveis até mesmo na tela de login, possibilitando que usuários não autorizados executem procedimentos de backup e exportem arquivos ZIP desprotegidos.
O CERT/CC recomenda a atualização imediata para a versão 1.9.4.48019 e sugere medidas adicionais de segurança, como restrições de permissão NTFS e segmentação de rede, para mitigar os riscos associados a essas vulnerabilidades.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).