Exploit

Um novo exploit de prova de conceito, denominado Fenrir, foi divulgado, visando uma falha crítica de lógica no processo de inicialização segura dos dispositivos Nothing Phone (2a) e CMF Phone 1. A vulnerabilidade permite que um atacante contorne a autenticação da partição bl2_ext, quebrando a cadeia de confiança e possibilitando a execução de código arbitrário no nível de privilégio mais alto (EL3) em sistemas ARM. Essa falha ocorre devido a um erro na cadeia de inicialização segura da MediaTek, que faz com que o Preloader ignore a verificação da partição bl2_ext quando o bootloader está desbloqueado. Isso significa que qualquer imagem de inicialização pode ser carregada sem validação, permitindo que um invasor desative as proteções de inicialização segura e obtenha controle total do dispositivo. A pontuação CVSS 3.1 para essa vulnerabilidade é de 9.8, indicando um risco crítico. Os usuários afetados devem evitar desbloquear seus bootloaders até que correções oficiais sejam disponibilizadas, e os fabricantes devem atualizar a lógica de verificação de inicialização segura para reforçar as verificações da bl2_ext, mesmo em estado desbloqueado.

A NCC Group divulgou uma análise detalhada de uma vulnerabilidade crítica no VMware Workstation, que permite a exploração de uma máquina virtual (VM) comprometida para atacar o host. A falha está relacionada à lógica de manipulação do dispositivo virtual backdoor/RPC, onde entradas maliciosas podem causar corrupção de memória, possibilitando a execução de código controlado no processo do hipervisor do host. A vulnerabilidade é resultado de verificações de limites inadequadas no código de manipulação de sessões RPC, permitindo que um atacante, sem privilégios elevados, desencadeie uma escrita fora dos limites na memória do host. O exploit de prova de conceito (PoC) demonstra um caminho de exploração em quatro etapas, começando com a abertura de uma sessão RPC e culminando na execução de um payload malicioso. A VMware já lançou atualizações de segurança para corrigir essa falha, e é recomendado que administradores apliquem os patches imediatamente e restrinjam cargas de trabalho não confiáveis em instalações locais do Workstation. O monitoramento contínuo do processo do hipervisor é essencial para detectar tentativas de exploração em tempo real.

Um exploit armado visando a vulnerabilidade crítica da SAP, identificada como CVE-2025-31324, foi publicamente liberado, gerando preocupações imediatas para organizações que operam sistemas SAP não corrigidos. O exploit, divulgado em 15 de agosto de 2025, pelo VX Underground via X (anteriormente Twitter), foi supostamente distribuído pelo grupo de ameaças ‘Scattered LAPSUS$ Hunters – ShinyHunters’ através de um canal no Telegram.

A vulnerabilidade CVE-2025-31324, que afeta o SAP NetWeaver Visual Composer, possui uma pontuação máxima de severidade CVSS de 10.0, permitindo que atacantes não autenticados comprometam completamente o sistema. O exploit combina essa vulnerabilidade com a CVE-2025-42999, uma falha de desserialização descoberta pelos Onapsis Research Labs. O vetor de ataque utiliza um processo de exploração em duas etapas: primeiro, os atacantes aproveitam a vulnerabilidade de bypass de autenticação para contornar controles de segurança e, em seguida, exploram a falha de desserialização para executar cargas maliciosas com privilégios de administrador SAP.