Oruga

**Nome do Software Vulnerável e Versões Afetadas** Microsoft Scripting Engine (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma vulnerabilidade de confusão de tipos no Microsoft Scripting Engine, que permite que um atacante não autorizado execute código através da rede. Isso pode ser conseguido explorando a vulnerabilidade quando um usuário visita uma página da web maliciosa, particularmente no Microsoft Edge ou no modo Internet Explorer. A vulnerabilidade tem sido ativamente explorada na natureza. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Windows anteriores ao Patchday de fevereiro de 2025 **Descrição** Existe uma falha na Pilha de Atualização do Windows relacionada à resolução inadequada de links antes do acesso a arquivos. A exploração bem-sucedida deste problema, identificado como CVE-2025-21204, permite que um atacante com baixos privilégios eleve suas permissões e potencialmente obtenha acesso em nível de SYSTEM. A vulnerabilidade origina-se do tratamento incorreto de links simbólicos pela Pilha de Atualização do Windows em sistemas não corrigidos, permitindo que atacantes manipulem o acesso a arquivos. Um pesquisador descobriu que até mesmo usuários não administradores poderiam explorar este problema para bloquear atualizações do Windows criando um ponto de junção entre C:inetpub e qualquer arquivo do sistema. A Microsoft criou a pasta C:inetpub como parte de uma atualização de segurança para mitigar esta vulnerabilidade, e os usuários são aconselhados a não excluí-la. A criação desta pasta foi observada mesmo em sistemas sem os Serviços de Informação da Internet (IIS) instalados. Um exploit de prova de conceito foi publicado. **Recomendações** Não exclua a pasta C:inetpub, independentemente de o IIS estar habilitado. Se a pasta C:inetpub foi excluída, restaure-a instalando os Serviços de Informação da Internet nos Recursos do Windows do Painel de Controle. Monitore a criação de pontos de junção ou alterações em arquivos do sistema. Garanta que os sistemas sejam atualizados regularmente.

**Nome do Software Vulnerável e Versões Afetadas** Microsoft Windows 10 versão 1507 anterior a 10.0.10240.20978 Microsoft Windows 10 versão 1607 anterior a 10.0.14393.7969 Microsoft Windows 10 versão 1809 anterior a 10.0.17763.7136 Microsoft Windows 10 versão 21H2 anterior a 10.0.19044.5737 Microsoft Windows 10 versão 22H2 anterior a 10.0.19045.5737 Microsoft Windows 11 (versões afetadas não especificadas) Microsoft Windows Server (versões afetadas não especificadas) **Description** Uma falha de use-after-free existe no driver Windows Common Log File System (CLFS), que é um driver de kernel responsável pelo registro de logs. Este problema permite que um invasor local autorizado eleve seus privilégios para o nível SYSTEM. A falha é causada por uma condição de corrida (race condition) entre os manipuladores `IRP MJ CLEANUP` e `IRP MJ CLOSE`, levando ao uso do ponteiro `FsContext2` após o objeto referenciado ter sido liberado. A exploração no mundo real foi observada por grupos de ransomware, incluindo o RansomEXX e o ator Storm-2460 utilizando o backdoor modular PipeMagic. Nessas tentativas, o driver `clfs.sys` foi abusado para obter privilégios de sistema, frequentemente após o uso do `certutil` e `MSBuild` para a entrega de payloads. A análise técnica indica que os invasores utilizaram a função `NtQuerySystemInformation` para obter endereços do kernel e a função `RtlSetAllBits` dentro do kernel para habilitar todos os privilégios do processo ao corromper a estrutura `EPROCESS`. Para interagir com o driver, os invasores criaram um arquivo específico em `C:ProgramDataSkyPdfPDUDrv.blf`. **Recommendations** Atualize o Microsoft Windows 10 versão 1507 para 10.0.10240.20978 ou posterior. Atualize o Microsoft Windows 10 versão 1607 para 10.0.14393.7969 ou posterior. Atualize o Microsoft Windows 10 versão 1809 para 10.0.17763.7136 ou posterior. Atualize o Microsoft Windows 10 versão 21H2 para 10.0.19044.5737 ou posterior. Atualize o Microsoft Windows 10 versão 22H2 para 10.0.19045.5737 ou posterior. Aplique as atualizações de segurança de abril de 2025 (incluindo KB5055523 e KB5055528) para o Microsoft Windows 11. Aplique as atualizações de segurança de abril de 2025 para o Microsoft Windows Server. Como mitigação temporária, restrinja o acesso ao driver `clfs.sys` para minimizar o risco de escalada de privilégios locais.

**Nome do Software Vulnerável e Versões Afetadas** Driver Fast FAT do Windows (versões afetadas não especificadas) **Descrição** O problema está relacionado a um estouro de inteiro ou wraparound no Driver Fast FAT do Windows, o que permite que um atacante não autorizado execute código localmente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Serviço de Telefonia do Windows (versões afetadas não especificadas) Descrição: A falha permite que atacantes remotos executem código arbitrário e afetem o sistema. Trata-se de uma vulnerabilidade de execução remota de código no Serviço de Telefonia do Windows. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Microsoft Message Queuing (MSMQ) (versões afetadas não especificadas) Descrição: O problema está relacionado a um consumo não controlado de recursos no Microsoft Message Queuing (MSMQ) em sistemas operacionais Microsoft Windows. Isso pode ser explorado por um atacante remoto para causar uma negação de serviço. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Windows Hyper-V (versões afetadas não especificadas) **Descrição** Um estouro de buffer baseado em heap existe no Windows Hyper-V NT Kernel Integration Virtualization Service Provider (VSP), especificamente no driver `vkrnlintvsp.sys`. Este problema ocorre no pool paginado de memória dinâmica e pode ser desencadeado por uma sobreposição na entrada do buffer I/O Ring, concedendo capacidades de leitura e gravação arbitrárias no kernel do Windows. A exploração bem-sucedida permite que um invasor eleve seus privilégios para o nível SYSTEM. Este problema foi explorado ativamente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Serviço Windows Line Printer Daemon (LPD) (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma vulnerabilidade de memória do tipo use-after-free no serviço Windows Line Printer Daemon (LPD). Esta vulnerabilidade pode ser explorada por um atacante remoto para executar código arbitrário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Microsoft Edge (baseado no Chromium) (versões afetadas não especificadas) **Descrição** O problema diz respeito a uma vulnerabilidade de elevação de privilégios no Microsoft Edge. Essa vulnerabilidade pode permitir que um invasor eleve seus privilégios, levando potencialmente a ações não autorizadas no sistema, exposição de informações confidenciais e comprometimento do sistema. Não são fornecidos detalhes específicos sobre dispositivos afetados ou incidentes reais. Detalhes técnicos sobre a exploração não são mencionados. **Recomendações** Atualize o Microsoft Edge: aplique imediatamente os patches de segurança mais recentes da Microsoft. Monitore seus sistemas: fique atento aos logs do sistema para detectar quaisquer sinais de atividade suspeita. Reforce as configurações de segurança: certifique-se de que as configurações de segurança do seu navegador estejam otimizadas para se defender contra ameaças.

**Nome do software vulnerável e versões afetadas** Microsoft Exchange Server (versões afetadas não especificadas) **Descrição** Uma vulnerabilidade no Microsoft Exchange Server está relacionada a erros no gerenciamento da geração de código. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute código arbitrário. A vulnerabilidade afeta o sistema e permite que invasores remotos executem código arbitrário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.